JP3675494B2

JP3675494B2 - Method and apparatus for authenticating at least one identification device by means of a confirmation device

Info

Publication number: JP3675494B2
Application number: JP01129694A
Authority: JP
Inventors: スターンジャック
Original assignee: Jacques Stern
Current assignee: Jacques Stern
Priority date: 1992-12-30
Filing date: 1994-01-04
Publication date: 2005-07-27
Anticipated expiration: 2020-07-27
Also published as: EP0605289A1; CA2112518C; FR2700430A1; DE69331183T2; CA2112518A1; ES2168270T3; JPH06348202A; BR9305279A; FR2700430B1; EP0605289B1; DE69331183D1; US5483597A

Description

【０００１】
【産業上の利用分野】
本発明は確認装置によって少なくとも１つの識別装置を認証(authentifier)する方法に関するものであり、特にシンドロームによるデコード化 (decodage par syndrome)の問題に基づいて解読を無効にするプロトコル(protocole a apport nul de connaissance)で行われる認証方法に関するものである。本発明は、さらに、上記方法を実施するための識別装置および確認装置にも関するものである。
本発明は特に安全性が疑わしいチャネルを介して２つの装置間でデータを交換する場合いわゆるセキュリティー（安全）通信に適用される。
【０００２】
【従来の技術】
セキュリティー通信では相互認識手段すなわち確認装置にユーザを認証させてユーザがデータまたはサービスにアクセスできるようにする手段が必要である。セキュリティー通信の必要は多数あり、特に、銀行のコンピュータで命令を転送する場合等を挙げることができる。この場合には、２つのコンピュータは正しく通信でき且つ不正者とは通信しないということが確実でなければならない。この他に、切符の自動販売機、有料テレビのデコーダー、カード公衆電話等を挙げることができる。これらのシステムでは識別装置がチップカード（ＩＣカードともいう）や電子キー等の携帯装置で構成され、販売機やデコーダに収容された確認装置でチップカードや電子キーのような各種のアクセス手段の有効性を管理しなければならない。
【０００３】
こうした場合に多く用いられる方法は秘密キーを用いた暗号化法を基礎とした認証方法であり、これまではこの方法が最も容易に実行できる方法であった。この方法では、チップカード等の識別装置と確認装置（例えば、端末装置、カード読取機、デコーダー、カード公衆電話等）とが同じ秘密キーを持ち、対称的アルゴリズムすなわち１方向機能によって識別が行われる。この方法の欠点は両者すなわち確認装置と識別装置とが互いに秘密を共有しなければならず、しかも、この条件が常に確認されていない点にある。すなわち、同じ秘密キーがネットワークの両方の端末すなわち確認装置と識別装置とに存在するため、海賊行為者が確認装置を購入してそれを分析すれば、確認装置の内部構造は知ることができるので、分析結果に基づいて海賊行為者が高性能な識別装置を作ることが技術的に可能であるという欠点がある。
【０００４】
従来法のこの欠点から保護するための種々の方法の中で、解読を無効にするプロトコルが今日までのところより高い安全性を保証している。この解読を無効にするプロトコルの機能上の特徴は、限定された回数だけ識別装置と相互に情報交換し且つ確認装置の構造を完全に分析しただけでは識別装置を再構成することはできないという点にある。この解読を無効にするプロトコルはフィアット(FIAT)の米国特許第 4,748,668号やギロー(GUILLOU) 達の欧州特許出願第A-0,311,470 号等に記載されている。
しかし、この解読を無効にするプロトコルは識別問題の理想的な解決方法ではあるが、大きな欠点もある。すなわち、この方法を行うためには極めて多くの演算が必要であるためエレクトロニクス的には実施が難しい。
【０００５】
そのために、エレクトロニクス的に容易に実施可能な識別方法を開発する試みが種々行われてきた。その１つの方法がシャミール(SHAMIR)の米国特許第4,932,056 号に記載されている。この特許に記載の方法はＰＫＰ法として呼ばれ、多数の数を扱う他のアルゴリズムに比べれば、エレクトロニクス的に比較的容易に実行できる。しかし、確認装置と識別装置間との間の交換速度が遅いという欠点がある。
【０００６】
【発明が解決しようとする課題】
本発明の目的は上記欠点を解消したエレクトロニクス的に容易に実行可能な確認装置による識別装置の迅速な認証方法を提供することにある。
【０００７】
【課題を解決するための手段】
本発明は「モジュラーナップザック（ＭｏｄｕｌａｒＫｎａｐｓａｃｋ）」として知られた問題すなわちシンドロームによるデコード化の問題に基づく解読を無効にするプロトコルによって認証を実施する、確認装置によって少なくとも１つの識別装置を認証する認証方法を提供する。
本発明の認証方法の特徴は下記段階にある：
（１）識別装置と確認装置との間の対話を可能にするための、サイズがｎでハミング重み（ｐｏｉｄｓｄｅＨａｍｍｉｎｇ）がｄ（ｄ＜ｎ）である少なくとも１つのベクトルｓ_ｉで構成された秘密キーと、係数がランダムに選択されるサイズｎ×ｋのマトリックスＭとＫ_ｉ＝Ｍｓ_ｉ等の少なくとも１つのベクトルＫ_ｉとで構成されるパブリックキーとを設定し、
（２）識別装置側で、サイズがｎのランダムなベクトルｙとランダムな順列（ｕｎｅｐｅｒｍｕｔａｔｉｏｎ）ｐとを生成し、ｙ、ｐ、ｓ、Ｍの関数パラメータに暗号ハッシュ関数（ｕｎｅｆｏｎｃｔｉｏｎｄｅｈａｃｈａｇｅ）Ｈを適用して、得られたコミットメント（ｅｎｇａｇｅｍｅｎｔ）を確認装置へ送り、
（３）確認装置が取って識別装置へ送った任意の数の関数で、ｓ_ｉを明らかにしないでｙ、ｐ、ｓｉのある関数要素を識別装置で明らかにし、
（４）受けた要素とパブリックキーとを用いて確認装置側で上記の数の関数でコミットメントが正確であることをテストし、
（５）所望の安全レベルに応じた回数で上記の動作を反復する。この安全レベルは回数と共に指数的に大きくなる。
【０００８】
【作用】
上記認証方法ではサイズｎ×ｋのマトリックスＭを用いる。このマトリックスＭは全てのユーザに共通でランダムに構成される。各ユーザは予め書き込まれた数ｄの１でｎビットのワードの秘密キーを受ける。この場合、システムはパブリックキーＫを例えばＫ＝ＭＳのように計算する。
あるいは、各ユーザに複数の秘密キーｓ[1],・・・, ｓ[w] を与え、この各々にパブリックキーＫ[i] ＝Ｍs[i]を組み合せることもできる。これらのベクトルｓ[1], ・・・, s[w]は展開した単位コードを形成するのが好ましい。
【０００９】
上記の識別方法は原理的にコミットメント法（ｔｅｃｈｎｉｑｕｅｄ’ ｅｎｇａｇｅｍｅｎｔ）の概念に基づいている。今、Ｕを２進数要素のシーケンスとすると、Ｕに対するコミットメントは一定の暗号ハッシュ関数を介したＵの画像である。このコミットメントは一方向関数として使用される。
【００１０】
本発明認証方法の第１実施例では、第１段階で、
(a) 各プロセスに共通して、識別装置がその識別子および／またはこの識別子がベルトルＫ_iに対応することを確認する確認装置に割り当てられた１つまたは複数のキーを明らかにする。
次いで、ランダムなベクトルｙとランダムな順列ｐとを選択した後に、
(b) 識別装置が下記：
ｈ₁＝Ｈ (ｐ、Ｍｙ）、ｈ₂＝Ｈ (ｙ_p) 、ｈ₃＝Ｈ（y xor s)_p)
を計算して確認装置へ順列｛ｈ₁、ｈ₂、ｈ₃｝を送る。
（ここで、ｘ_pはｐで置換されたベクトルｘを表し、ｘｏｒは排他ＯＲ関数を表す)
(c) 次いで、確認装置がランダムに０＜ｑ＜４の数を取り、この数を識別装置へ送る。
(d) そして、識別装置が下記で定義される応答ｒを計算し、確認装置へ送る：
ｑ＝１ならば、ｒ＝｛ｙ、ｐ｝
ｑ＝２ならば、ｒ＝｛ｙ xor ｓ、ｐ｝
ｑ＝３ならば、ｒ＝｛ｙ_p、ｓ_p｝
(e) 確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記であることを調べる：
ｑ＝１ならば、ｈ₁＝Ｈ（Ｖ、ＭＵ）で、ｈ₂＝Ｈ（Ｕ_v)
ｑ＝２ならば、ｈ₁＝Ｈ（Ｖ、（ＭＵ）xor Ｋ）で、ｈ₃＝Ｈ（Ｕ_v)
ｑ＝３ならば、ｈ₂＝Ｈ（Ｕ）、ｈ₃＝Ｈ（Ｕ xorＶ）且つＶのハミング重み(poids de Hamming)がｄである。
(f) このｑに対応するテストが正しいこと確認された時に、確認装置がプロトコ
ルは成功裏に終了したと見なす。
【００１１】
本発明の別の実施例では、ベクトルｓがｗ個のベクトルｓ［１］，ｓ［２］，・・・ｓ［Ｗ］で置換されて、重みｄの単体コードを形成する。この実施例では、ランダムなベクトルｙとランダムな順列ｐとを選択した後に、
（ｂ）識別装置がｈ_１＝Ｈ（Ｍ_ｙ，ｐ）、ｈ_２＝Ｈ（ｙ_ｐ，ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ）を計算して、コミットメント｛ｈ_１、ｈ_２｝を識別装置へ送る。
（ｃ）確認装置はランダムに２進数ベクトルｂ［１］、・・・、ｂ［ｗ］を取ってそれを識別装置に送る。
（ｄ）識別装置は下記の式で定義される応答ｚを計算して確認装置へ送る：
ｚ＝ｙ_ｐｘｏｒｒｓ［１］_ｐｂ［１］ｘｏｒｓ［２］_ｐｂ［２］ｘｏｒｓ［３］_ｐｂ［３］・・ｘｏｒｓ［ｗ］_ｐｂ［ｗ］
（ｅ）確認装置はビットｑをランダムに取って識別装置に送る。
（ｆ）識別装置は下記の式で定義される回答ｒを送る：
ｑ＝０ならば、ｒ＝｛ｙ_ｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ｝
ｑ＝１ならば、ｒ＝｛ｐ｝
（ｇ）確認装置はｑ＝０ならば、応答ｒ＝｛ｒ［０］、ｒ［１］，・・・，ｒ［ｗ］｝を受け、
ｑ＝１ならばｒ＝｛ｒ［０］｝を受ける。
（ｈ）確認装置は下記のことを調べる：
ｑ＝０ならば、ｈ_２＝Ｈ（ｒ）、ｚ＝ｒ［０］ｘｏｒｒ［１］ｂ［１］ｘｏｒｒ［２］ｂ［２］ｘｏｒｒ［３］ｂ［３］・・・ｘｏｒｒ［ｗ］ｂ［ｗ］で、｛ｒ［１］，ｒ［２］，・・・ｒ［ｗ］｝は単体コードを形成。
ｑ＝１ならば、Ｈ（Ｍ（順列（ｚ，ｒ［０］））ｘｏｒ（Ｋ［１］ｂ［１］ｘｏｒＫ［２］ｂ［２］ｘｏｒＫ［３］ｂ［３］・・・ｘｏｒＫ［ｗ］ｂ［ｗ］）、ｒ［０］）＝ｈ_１
（ここで、Ｋ［ｉ］＝Ｍｓ［ｉ］）
（ｉ）ｑに対応するテストが正確であることが明らかな時に、確認装置はプロトコルが成功裏に終了したとみなす。
本発明の上記以外の利点は添付図面を参照した以下の本発明方法の各種実施例から明らかになろう。
【００１２】
【実施例】
本発明は、解読を無効にするプロトコルによって実施される新規な認証方法に関するものである。
本発明方法の安全性はシンドロームによるデコード(DS)の問題に基づくものである。シンドロームによるデコード(DS)の問題は以下のように説明できよう。すなわち、２進数マトリックスＭの場合でも、２進数ベクトルＫの場合でも、Ｍｓ＝Ｋのように重みｓが比較的大きいか、小さい２進数ベクトルｓを見つけることである。重みとはそのベクトル中の１のビット数を意味する。この問題はマトリックスＭのサイズとｓのハミング重み(poid de Hamming) ｄとを正しく選択すると、現在公知の計算手段で解くのは極めて難しい。シンドロームによるデコート化の問題を解決するための公知のアルゴリズム、例えば、レオン(J. S. Leon)の論文「大きなエラー補正コードの最小重みを計算するための確率アルゴリズム (A probabilistic algorithm for computing minimum weights of large error-correcting codes) 」（ＩＥＥＥＴＩＴ 34(5) 第1354〜1359頁) やスターン(J. Stern)の論文「小さい重みのコードワードを見つける方法 (A method for finding codewords of small weight) 」 (Coding Theory & Applications, notes de lecture en Computer Science 388(1989) 、第 106〜113 頁) に記載のアルゴリズムは、計算時間がマトリックスのサイズに比例して指数関数的に長くなる。
【００１３】
実際の計算手段では、Ｍのサイズが約 500×250 となり、ｄの値が50に近くなると、ｓを計算することができない。しかし、ｓ（偶然ではあるが、正しい重みが付いた）がわかると、Ｋは計算することができる。
本発明では、この１方向特性を使用して、Ｋを知っている確認装置が相互作用中にその値を知らせずに識別装置がｓを有しているか否かをテストすることができる。
【００１４】
本発明の認証方法を実施する際には、正当権限者（autorite、アクセスが許された正当な使用者）が係数ａ_ijで構成されたマトリックスＭをランダムに選択して公表(ubliier) する。実際には、マトリックスＭ全体を記憶するのを避けるために、ｆ（ｉ、ｊ）によって各係数ａ_ijを生成させることができる（ここで、ｆは公表された任意の擬似ランダム関数である）。
また、正当権限者はハミング重みが比較的小さい２進数ベクトルの組ｓ_jすなわちｓ₁,ｓ₂,・・・, ｓ_nを選択して、それを各識別装置に配分する。従って、識別装置ｉはｓ_iを受ける。一方、パブリックキーＫ_i（但し、Ｋ_i＝Ｍｓ_i）を公表する。
【００１５】
別の実施例では正当権限者がＫ_iに署名を付けて、パブリックキーを有効化するめには正当権限者との相互通信を必要とする閉じた暗証システムを構成する秘密キーｓ_iの保持者の同定システムを用いる。
以下、本発明方法の特殊な２つの実施態様を説明する。
【００１６】
第１の方法を図１を参照して説明する。
図１は認証のために識別装置と確認装置との間で実行される通信プロトコルの概念図である。識別装置は例えばチップカードや電子キーで構成される物理的に侵入不可能なものである。チップカードの場合には内部メモリにアクセスすることは不可能であるが、確認装置の環境に関しては何も仮定していない。
図３、図４に概念的に示した識別装置および確認装置では、識別装置が不揮発性メモリ内にその秘密キーｓ_ｉとマトリックスＭとを有している。同様に、確認装置は不揮発性メモリ内にパブリックキーの組Ｋ_ｉとマトリックスＭとを有している。
識別装置が確認装置とコンタクトをとる場合に２つの装置が実行するプロトコルは下記の通りである：
（ａ）先ず、識別装置はその識別子および／またはそのキーＫ_ｉを確認装置に提示して、その識別子がベクトルＫ_ｉに対応することを確認する。
（ｂ）次に、識別装置はランダムな２進数ベクトルｙとランダムな順列ｐとを選択する。次いで、識別装置は下記要素：
ｈ_１＝Ｈ（ｐ、Ｍｙ）、ｈ_２＝Ｈ（ｙ_ｐ）、ｈ_３＝Ｈ（ｙｘｏｒｓ）_ｐ）を計算し、確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送る。
（ここで、ｘ_ｐはｐで順列化されたベクトルｘを示し、ｘｏｒは排他的ＯＲを表す）
（ｃ）次に、確認装置はランダムな数０＜ｑ＜４を取って、その数を識別装置へ送る。
（ｄ）次に、識別装置は下記で定義される回答を計算して確認装置へ送る：
ｑ＝１ならば、ｒ＝｛ｙ、ｐ｝
ｑ＝２ならば、ｒ＝｛ｙｘｏｒｓ，ｐ｝
ｑ＝３ならば、ｒ＝｛ｙ_ｐ、ｓ_ｐ｝
（ｅ）確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記をテストする：
ｑ＝１ならば、ｈ_１＝Ｈ（Ｖ、ＭＵ）かつｈ_２＝Ｈ（Ｕ_ｖ）
ｑ＝２ならば、ｈ_１＝Ｈ（Ｖ、（ＭＵ）ｘｏｒＫ）かつｈ_３＝Ｈ（Ｕ_ｖ）
ｑ＝３ならば、ｈ_２＝Ｈ（Ｕ）、ｈ_３＝Ｈ（ＵｘｏｒＶ）かつＶのハミング重みがｄである。
（ｆ）ｑに対応するテストが正解な場合には、確認装置はプロトコルを成功裏に終了する。テストが正解でない場合には識別装置は拒絶される。
識別装置が受入れられた時には、保護システムの入力／出力インターフェースに制御インパルスが送られてその後のトランザクションが開始される。上記の各操作全体は図１に示されており、その左側部分は識別装置側で実施された各操作であり、右側部分は確認装置側で実施された各操作である。矢印は一方の装置から他方の装置へ情報が送られることを示している。
【００１７】
上記プロセスの安全性を大きくするためには、識別装置と確認装置の２つの装置が上記の段階を複数回すなわちｔ回繰り返して、全ての回数でプロトコルが成功した時のみしか確認装置が識別装置を認証しないようにするのが好ましい。好ましくは０＜ｔ＜60のようなｔを選択する。
【００１８】
上記の基本的方法は、エレクトロニクス的に実行を単純化したり、計算時間を短くするために種々変更することができる。すなわち、ベクトルＭｙをキーで転送し、対応するテストを変更してＨ_１＝Ｈ（ｐ）を再定義することができる。別の実施例では、確認装置および／または識別装置がベクトル座標の二次的な組に部分的なテストを実施してより迅速に計算を実施する。これらの場合に、プロセス上の幾つかの段階を下記のように変更する：
すなわち、ランダムなベクトルｙとランダムな順列ｐとを選択した後に、
（ｂ）識別装置が下記式：
ｈ_１＝Ｈ（ｐ）、ｈ_２＝Ｈ（ｙ_ｐ）、ｈ_３＝Ｈ（ｙｘｏｒｓ）_ｐ）
を計算し、確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り、
（ｃ）次に、確認装置は互いに分離した数のリストＧ＝｛ｇ_１、・・・ｇ_ｆ｝（但し、１＜ｇ_ｉ＜ｋ）をランダムに取ってそれを識別装置へ送り、
（ｄ）識別装置は、置換がＧによって示されたＭｙのｆビットだけを計算し、得られたベクトルＺを確認装置へ送る。
【００１９】
この場合、段階(e) も下記のように変更される：
(e) 確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記のように制御する：
ｑ＝１ならば、ｈ₁＝Ｈ（Ｖ）、ｈ₂＝Ｈ（Ｕ_v) かつエキス(Extrait)(ＭＵ、Ｇ） xor Ｚ＝０ (ここで、エキス (ＭＵ、Ｇ）はｘ中でＧによって表されたビットだけを選択することによって、得られた射影ベクトルを表す）、
ｑ＝２ならば、ｈ₁＝Ｈ（Ｖ）、ｈ₃＝Ｈ（Ｕ_v) かつエキス (ＭＵ xorＫ、Ｇ） xor Ｚ＝０、
ｑ＝３ならば、ｈ₂＝Ｈ（Ｕ）、ｈ₃＝＝Ｈ（Ｕ xor Ｖ）かつＶのハミング重みはｄである。
【００２０】
本発明の方法の別の実施例では（ｂ）段階を下記のように変更する：
（ｂ）ランダムなベクトルｙとランダムな順列ｐとを選択した後に、識別装置は下記式：
ｈ_１＝Ｈ（ｐ）、ｈ_２＝Ｈ（ｙ_ｐ）、ｈ_３＝Ｈ（ｙｘｏｒｓ）_ｐ）を計算し、確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り、
（ｃ）識別装置はＱ＝Ｍ_ｙを計算し、得られたベクトルＱを確認装置に送り、（ｄ）確認装置は互いに分離した数のリストＧ＝｛ｇ_１、・・・ｇ_ｆ｝（ここで、１＜ｇ_ｉ＜ｋ）をランダムに取ってベクトルＺ＝エキス（Ｑ、Ｇ）を計算する。
この場案には段階（ｅ）を下記のように変更する：
（ｅ）確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記のように制御する：
ｑ＝１ならば、ｈ_１＝Ｈ（Ｖ）、ｈ_２＝Ｈ（Ｕ_ｖ）かつエキス（ＭＵ、Ｇ）ｘｏｒＺ＝０）、
ｑ＝２ならば、ｈ_１＝Ｈ（Ｖ）、ｈ_３＝Ｈ（Ｕ_ｖ）かつエキス（ＭＵｘｏｒＫ、Ｇ）ｘｏｒＺ＝０、
ｑ＝３ならば、ｈ_２＝Ｈ（Ｕ）、ｈ_３＝＝Ｈ（ＵｘｏｒＶ）かつＶのハミング重みはｄである。
【００２１】
次に、本発明の認証方法の別の実施例を図２を参照して説明する。この第２の実施例は上記の実施例より多くの計算を必要とするが、不法者の成功の確率はより急速に減少する。この場合には、ベクトルｓ_ｉは拡張された単体コードを形成するベクトルｓ［１］，・・・ｓ［ｗ］の組に代える。また、ベクトルＫ_ｉはＭ（ｓ［ｉ］）＝Ｋ［ｉ］のようなベクトルＫ［１］，・・・Ｋ［ｗ］の組に代える。
この実施例は図１で使用した記号と同様な記号で示した図２の下記の段階を有している：
（ａ）識別装置がランダムなベクトルｙとランダムな順列ｐとを選択した後に、
ｈ_１＝Ｈ（Ｍｙ、ｐ）、ｈ_２＝Ｈ（ｙ_ｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ）を計算して確認装置へコミットメント｛ｈ_１、ｈ_２｝を送り、
（ｂ）確認装置はランダムに２進数ベクトルｂ［１］，・・・，ｂ［ｗ］を取って識別装置へそれを送り、
（ｃ）識別装置は下記の式で定義される応答ｚを計算して確認装置へ送る：
ｚ＝ｙ_ｐｘｏｒｓ［１］_ｐｂ［１］ｘｏｒｓ［２］_ｐｂ［２］ｘｏｒｓ［３］_ｐｂ［３］・・・ｘｏｒｓ［ｗ］_ｐｂ［ｗ］
（ｄ）確認装置はビットｑをランダムに取って識別装置へ送り、
（ｅ）識別装置は下記の式で定義される応答ｒを送る：
ｑ＝０ならば、ｒ＝｛ｙ_ｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ｝
ｑ＝１ならば、ｒ＝｛ｐ｝
（ｆ）確認装置は、ｑ＝０ならば応答ｒ＝｛ｒ［０］、ｒ［１］、・・・、ｒ［ｗ］｝を受け、ｑ＝１ならばｒ＝｛ｒ［０］｝を受ける、
（ｇ）確認装置は下記のテストを行う：
ｑ＝０ならば、ｈ_２＝Ｈ（ｒ）、ｚ＝ｒ［０］ｘｏｒｒ［１］ｂ［１］ｘｏｒｒ［２］ｂ［２］ｘｏｒｒ［３］ｂ［３］・・・ｘｏｒｒ［ｗ］ｂ［ｗ］かつ｛ｒ［１］、ｒ［２］、・・・ｒ［ｗ］｝が単体コードを形成する、
ｑ＝１ならば、Ｈ（Ｍ（順列（ｚ、ｒ［０］））ｘｏｒ（Ｋ［１］ｂ［１］ｘｏｒＫ［２］ｂ［２］ｘｏｒＫ［３］ｂ［３］・・・ｘｏｒＫ［ｗ］ｂ［ｗ］、ｒ［０］）＝ｈ_１
（ｈ）ｑに対応するテストが正確であることが分かった時に、確認装置はプロ
トコルが成功裏に終了したとみなす。
【００２２】
この方法はベクトルｚの脱順列（ｄｅ：ｅｒｍｕｔａｔｉｏｎ）を避けるために、上記のようなベクトルの座標の二次的な組について単純化された確認を実施するように変更することができる。この場合には例えば下記の段階を有する：
（ａ）識別装置はランダムなベクトルｙとランダムな順列ｐとを選択した後に、ｈ_１＝Ｈ（ｐ）、ｈ_２＝Ｈ（ｙ_ｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ）を計算し、確認装置にコミットメント｛ｈ_１、ｈ_２｝とベクトルｈ_０＝Ｍ_ｙを送り、
（ｂ）確認装置はランダムに２進数ベクトルｂ［１］，・・・，ｂ［ｗ］を取って識別装置にそれを送り、
（ｃ）識別装置は下記の式で定義される応答ｚを計算して確認装置へ送る：
ｚ＝ｙ_ｐｘｏｒｓ［１］_ｐｂ［１］ｘｏｒｓ［２］_ｐｂ［２］ｘｏｒｓ［３］_ｐｂ［３］・・・ｘｏｒｓ［ｗ］_ｐｂ［ｗ］
（ｄ）確認装置はビットｑをランダムに取って識別装置へ送り、
（ｅ）識別装置は下記の式で定義される応答ｒを送る：
ｑ＝０ならば、ｒ＝｛ｙ_ｐ、ｓ［１］_ｐ、・・・、ｓ［ｗ］_ｐ｝
ｑ＝１ならば、ｒ＝｛ｐ｝
（ｆ）確認装置は、ｑ＝０ならば応答ｒ＝｛ｒ［０］、ｒ［１］、・・・、ｒ［ｗ］｝を受け、ｑ＝１ならばｒ＝｛ｒ［０］｝を受ける、
（ｇ）確認装置は下記をテストする：
ｑ＝０ならば、ｈ_２＝Ｈ（ｒ）、ｚ＝ｒ［０］ｘｏｒｒ［１］ｂ［１］ｘｏｒｒ［２］ｂ［２］ｘｏｒｒ［３］ｂ［３］・・・ｘｏｒｒ［ｗ］ｂ［ｗ］かつ｛ｒ［１］、ｒ［２］、・・・、ｒ［ｗ］｝は単体コードを形成する。
ｑ＝１ならば、ｈ_１＝Ｈ（ｒ［０］）かつ（ｈ_０）ｒ［_０］ｘｏｒ（Ｋ［１］ｂ［１］ｘｏｒＫ［２］ｂ［２］ｘｏｒＫ［３］ｂ［３］・・・ｘｏｒＫ［ｗ］ｂ［ｗ］）ｒ_［０］＝ｚ
対応するテストが正確であることが分かった時に、確認装置はプロトコルが成功裏に終了したとみなす。
第１の実施例の場合と同様に、上記のプロトコルもｔ回繰り返してプロトコルの全回が成功した時にのみ確認装置が識別装置を認証することもできる。
【００２３】
また、上記２つの方法の安全性は各種パラメータ、特にｄ、ｎ、ｋ及びｔのサイズに依存する。互いに交信する２つの装置のレベルで作動中にｔの選択を容易に変更できるということは当業者には明らかである。パラメータｄ、ｎ及びｋはシステムパラメータであり、これらの選択は最初に決定されており、変更は困難である。
これらのパラメータｄ、ｎ、ｋは、ランダムなコード（ｎ、Ｋ）の最小重みに対して理論限界値を与えるワルシャモフ−ギルバート(Warshamov-Gilbert) 限界で選択するのが好ましい。すなわち、ｄ＝ｎＨ₂（ｋ／ｎ）（ここで、Ｈ₂(ｘ）はエントロピー関数Ｈ₂（ｘ）＝−ｘ log₂（ｘ）−（１−ｘ）log₂（１−ｘ）である) 。この場合、ｄは下記のように選択する：
ｄ＝（ｋ−ｎ）log₂（１−（ｋ／ｎ））−ｋlog₂（ｋ／ｎ）または
ｄ＝（ｎ−（ｋ−ｎ）log₂（１−（ｋ／ｎ））＋ｋlog₂（ｋ／ｎ）
【００２４】
また、ワルシャモフ−ギルバート限界の制限下ではｎとｋとの値を結ぶ２ｋ＝ｎのような関係式を加えるのが便利である。
上記の関係式、好ましくは、ｄ＝0.11ｎまたはｄ＝0.89ｎを用いると、ｎとｋの組は下記の値の１つをとることができる：
｛ｎ＝384 、ｋ＝196 ｝または｛ｎ＝512 、ｋ＝256 ｝または｛ｎ＝1024、ｋ＝512 ｝または｛ｎ＝768 、ｋ＝384 ｝
【００２５】
上記の全ての方法で使用できる変形実施例では、暗号ハッシュ関数を暗号化関数（ｆｏｎｃｔｉｏｎｄｅｃｈｉｆｆｒｅｍｅｎｔ）に代えて、ハッシュされるメッセージ（ｍｅｓｓａｇｅａｈａｃｈｅｒ）がキーおよび／または暗号化すべきメッセージの役割を果たし且つハッシュされたメッセージの真実性の制御がハッシュされたメッセージおよび／または暗号化キーを明らかにする。この問題に関しては下記刊行物を参照することができる：
（１）ヴァンダムガード（ＩｖａｎＤａｍｇａａｒｄ）、クリプト（Ｃｒｙｐｔｏ）’８９『ハッシュ関数の設計原理（Ｄｅｓｉｇｎｐｒｉｎｃｉｐｌｅｓｆｏｒｈａｓｈ−ｆｕｎｃｔｉｏｎｓ）』
（２）ナオール（Ｎａｏｒ）達の『１方向ハッシュ関数とその暗号への応用（Ｏｎｅ−ｗａｙｈａｓｈｆｕｎｃｔｉｏｎｓａｎｄｔｈｅｉｒｃｒｙｐｔｏｇｒａｐｈｉｃａｐｐｌｉｃａｔｉｏｎｓ）』（Ｐｒｏｃｅｅｄｉｎｇｓｏｆｔｈｅ２１^ｓｔａｎｎｕａｌＡＣＭｓｙｍｐｏｓｉｕｍｏｎｔｈｅｏｒｙｏｆｃｏｍｐｕｔｉｎｇ、Ｓｅａｔｔｌｅ、Ｗａｓｈｉｎｇｔｏｎ、Ｍａｙ１５〜１７、１９８９、３３〜４３頁）
（３）マティアス（Ｍａｔｙａｓ）の『暗号法アルゴリズムを用いた強い１方向関数の生成（Ｇｅｎｅｒａｔｉｎｇｓｔｒｏｎｇｏｎｅ−ｗａｙｆｕｎｃｔｉｏｎｓｗｉｔｈｃｒｙｐｔｏｇｒａｐｈｉｃａｌｇｏｒｉｔｈｍ）』（ＩＢＭＴｅｃｈｎｉｃａｌｄｉｓｃｌｏｓｕｒｅｂｕｌｌｅｔｉｎ、第２７巻、第１０Ａ号、１９８５年３月、５６８５〜５６９５頁）。
【００２６】
「モジュラーナップザック(Modular Knapsack)」を基礎とする方法の場合のベクトルｙの選択と全ての計算はモジュロ(modulo)ｍで実施され、ｘｏｒ演算はモジュロｍの加算または減算で置換される。重みのテストは、ベクトルの全座標が０であるか１であるかの確認と、このベクトルの重みが一定であることの確認で置換され、ｎ、ｋ及びｍの間の関係式はｎ−ｋIn（ｍ）／In２かつｎ−ｋ＞64である。従って、ｍは数２、３、５、７または２^c（ここで、ｃは小さい整数である）の中から選択され、組｛ｎ、ｋ、ｍ｝は下記の１つをとることができる：
｛196 、128 、３｝または｛384 、256 、3 ｝または｛128 、64、5 ｝または｛192 、96、5 ｝
【００２７】
大抵の場合、識別装置の保持者の識別子ＩＤからｓを演繹する手段を有することが重要である。それによって、例えば確認装置でのパブリックキーＫ_ｉのバックアップを防ぎ、新しいユーザがシステムに参加してパブリックキーの辞書を変えるのを防ぐことができる。
このために、正当権限者は全ての共通パラメータに対して一度に拡張した単体コードσ_１、・・・、σ_ｕを選択する。
識別子がＩＤであるユーザを記録するには、パプリックの１方向関数（例えばハッシュ関数）によってＩＤの値をハッシュし、２進数ベクトルｅ_１・・・ｅ_ｕを作って、下記〔式２〕を計算する：
【００２８】
【式２】

【００２９】
Ｋ₁＝Ｍ（σ₁）、・・・、Ｋ_u＝Ｍ（σ）_uを公表し、ユーザＩＤにＳ_IDを与える。
確認装置は下記〔式３〕を計算して識別装置がｓ_IDを有することを確認することができる：
【００３０】
【式３】

（ここで、ベクトルｅ_１、・・・、ｅ_ｕはＩＤのハッシュによって与えられる）
【００３１】
十分な安全度に達するには、ｕ＞40であることが不可欠であり、そのためには経験的にかなり大きなサイズの単体コードが必要である。実際には、サイズの小さいＬ個の単体コードの組（例えばｄ＝64、ｄｉｍ＝７、ｎ＝580 、ｋ＝290,Ｌ＝８）を選択し、各ユーザに対して下記のようにして得られたＬ個の秘密キーｓ[1] _ID、ｓ[2] _ID、・・・、ｓ[L] _IDを計算することによって、適切なサイズにすることが容易にできる。
全ての単体コードＬについて一度にサイズdim を選択し、
σ[1]₁、・・・σ[1] _dim
σ[2]₁、・・・σ[2] _dim
σ[L]₁、・・・σ[L] _dim
各識別装置でパブリックキーの完全な組Ｋ[i] _j＝Ｍ（σ[i] _j）を与える (ここで、ｉ＝１、・・・Ｌ、ｊ＝１、・・・dim)
【００３２】
各ユーザに対して、
(1) Ｈ（ＩＤ）＝ｅ₁、・・・ｅ_uを計算し、
(2) ベクトルを各々ｄｉｍビットのＬ個のセグメントｅ[1] 、・・・ｅ[L] に分割し、
(3) ｉ＝１〜Ｌに対して下記〔式４〕を計算する
【００３３】
【式４】

【００３４】
(4) ユーザにｓ[1]_ID、ｓ[2]_ID、・・・、ｓ[I]_IDを与える。
【００３５】
各ｓ［ｉ］_ＩＤは、下記プロトコルに示すように、直列（ｓ［ｉ］_ＩＤを順番に連続して使用する）または並行で使用する：
（ａ）識別装置は確認装置にその識別子ＩＤを明らかにし、
（ｂ）確認装置はＫ［１］_ＩＤ、Ｋ［２］_ＩＤ、・・・Ｋ［Ｌ］_ＩＤを計算し、
（ｃ）識別装置はＬ個のベクトルｙ［１］、・・・ｙ［Ｌ］とＬ個の順列ｐ［１］、・・ｐ［Ｌ］を選択し、ｈ_１＝Ｈ〔｛ｐ［１］｝，｛Ｍｙ［ｉ］｝〕、
ｈ_２＝Ｈ（｛ｙ［ｉ］_ｐ［ｉ］｝）、ｈ_３＝Ｈ〔｛ｙ［ｉ］ｘｏｒｓ［ｉ］_ｐ［ｉ］｝）を計算して確認装置へコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り、
（ｄ）確認装置はランダムな数０＜ｑ＜４を取って識別装置にそれを送り、
（ｅ）識別装置は下記で定義される応答ｒを確認装置に送る：
ｑ＝１ならば、ｒ＝｛｛ｙ［ｉ］｝、｛ｐ［ｉ］｝｝
ｑ＝２ならば、ｒ＝｛｛ｙ［ｉ］ｘｏｒｓ［ｉ］｝、｛ｐ［ｉ］｝｝
ｑ＝３ならば、ｒ＝｛｛ｙ［ｉ］_ｐ［ｉ］｝、｛ｓ［ｉ］_ｐ［ｉ］｝｝
（ｆ）確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記をテストする：
ｑ＝１ならば、ｈ_１＝Ｈ〔｛Ｖ［ｉ］｝、｛ＭＵ［ｉ］｝〕かつ
ｈ_２＝Ｈ（｛Ｕ［ｉ］Ｖ_［ｉ］｝）
ｑ＝２ならば、ｈ_１＝Ｈ〔｛Ｖ［ｉ］｝、｛ＭＵ［ｉ］ｘｏｒＫ［ｉ］｝）かつｈ３＝Ｈ（｛Ｕ［ｉ］_ｖ［ｉ］｝）
ｑ＝３ならば、ｈ_２＝Ｈ（｛Ｕ［ｉ］｝、ｈ_３＝Ｈ（｛Ｕ［ｉ］ｘｏｒＶ［ｉ］｝）で且つＶ［ｉ］の重みはｄである
（ｇ）ｑに対応するテストが正確であることが分かった時に、確認装置はプロトコルが成功裏に終了したとみなす。
（ｈ）両者の装置の間で上記（ａ）〜（ｆ）の段階をｔ回反復する。
【００３６】
並行の場合のプロトコルは下記の通り：
（ａ）識別装置は確認装置にその識別子ＩＤを明らかにし、
（ｂ）確認装置はＫ［１］_ＩＤ、Ｋ［２］_ＩＤ、・・・Ｋ［Ｌ］_ＩＤを計算し、
（ｃ）識別装置はＬ個のベクトルｙ［１］、・・・ｙ［Ｌ］と、Ｌ個の順列ｐ［１］、・・ｐ［Ｌ］を選択し、ｈ_１＝Ｈ〔｛ｐ［１］｝、｛Ｍｙ［ｉ］｝〕、ｈ_２＝Ｈ（｛ｙ［ｉ］_ｐ［ｉ］｝）、ｈ_３＝Ｈ〔｛ｙ［ｉ］ｘｏｒｓ［ｉ］_ｐ［ｉ］｝）を計算して確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り、
（ｄ）確認装置はランダムにＬ個の数ｑ［１］、・・・ｑ［Ｌ］（但し、０＜ｑ＜４）を取って識別装置にそれを送り、
（ｅ）識別装置は下記で定義される応答ｒ［１］を計算して確認装置へ送る：
ｑ［ｉ］＝１ならば、ｒ［ｉ］＝｛ｙ［ｉ］、ｐ［ｉ］｝
ｑ［ｉ］＝２ならば、ｒ［ｉ］＝｛ｙ［ｉ］ｘｏｒｓ［ｉ］、ｐ［ｉ］｝
ｑ［ｉ］＝３ならば、ｒ［ｉ］＝｛ｙ［ｉ］_ｐ［ｉ］ｓ［ｉ］_ｐ［ｉ］｝
（ｆ）確認装置は｛ｒ［ｉ］｝を受け、当業者に自明な方法でコミットメントを制御する。
【００３７】
ＩＤをｓに関連づけるその他の方法は下記の通りである：
１のビットが２ａｔの位置に分割されたｔ個の秘密の重みを導入する。すなわちｓ[1] 、s[2]、・・・、s[t]であり、ｉ＝１、・・・、ｔについてＭｓ[i] を公表する。
この場合、キーは下記の手順で作られる。下記〔式５〕のようなワードを見つけることは、部分的な三角測量(tiangulation partielle)で容易にできる：
【００３８】
【式５】

ｓの重みは約ｔａ−ｔ／２である。
【００３９】
この系でのサイズの選択は通常次の関係式：0.11ｎ＝ｔａ−ｔ／２、２ｋ＝ｎかつ２ａｔδ＞56（但し、２ａ−２ａＨ₂(δ) −１）で支配される。
ｔ＝56の時の場合、一般には、ｄ＝95、ｎ＝863 、ｋ＝432 である。当業者には他の組み合わせが可能であることが明らかである。
【００４０】
次に、図３を参照して識別装置の概念的実施例を説明する。識別装置は例えばチップカードにすることができる。
この識別装置は制御装置１と、不揮発性メモリ２（この不揮発性メモリ２は、例えば上記マトリックスＭまたはこのマトリックスＭの係数を得ることが可能な関数と、識別装置自身の秘密キーｓ_ｉとを収容したリードオンリーメモリにすることができる）と、ランダムアクセスメモリ３と、ベクトル−マトリックス乗算器（その機能は図５を参照して後で説明する）と、２進数排他的ＯＲ実施手段５と、ランダム数発生器６と、ハッシュ機能７と、順列発生器８とを有し、これら全ての要素は物理的に保護されている。さらに、識別装置には確認装置と識別装置の制御装置との間でデータを交換するための通信インターフェースが備えられている。ランダム数発生器６は例えばいわゆる「クード（ｃｏｕｄｅ）」区域を逆に分極したツェナーダイオード（ｚｅｎｅｒｄｉｏｄｅ）が生成するデジタル白色ノイズ源で形成するか、グンター（ＧＵＮＴＥＲ）の米国特許第４，８１７，１４５号またはアラゴン（ＡＲＡＧＯＮ）の米国特許第４，６４９，４１９号に記載の擬似ランダム数発生器で構成することができる。順列発生器８は、例えばナッカシュ（ＤａｖｉｄＮａｃｃａｃｈｅ）の『順列の生成について（Ｏｎｔｈｅｇｅｎｅｒａｔｉｏｎｏｆｐｅｒｍｕｔａｔｉｏｎ）』（ＳｏｕｔｈＡｆｒｉｃａｎＣｏｍｐｕｔｅｒＪｏｕｒｎａｌ第２号、１９９０年、１２〜１６頁）に記載の方法を用いた２進数ベクトル順列化装置にすることができる。
【００４１】
ハッシュ関数（ｆｏｎｃｔｉｏｎｄｅｈａｃｈａｇｅ）はクリプト９０でＲｉｖｅｓｔが発表したハッシュ関数ＭＤ４、ヨーロクリプト９２でＳｃｈｎｏｒが発表した適当に反復されるＦＦＴ−ＨａｓｈＩＩまたは暗号化アルゴリズムＤＥＳによって作ることができる。
【００４２】
図４は確認装置を示している。この確認装置は制御装置１０を有し、この制御装置１０にはマトリックスＭおよびパブリックキーＫを収容したＲＯＭ型の不揮発性メモリ１１と、ハミング（Ｈａｍｍｉｎｇ）重み計算器１２と、比較器１３と、マトリックス−ベクトル乗算器１４と、ランダムアクセスメモリ１５と、識別装置の手段５と同じ２進数排他的ＯＲ実施手段１６と、ランダム数発生器１７と、ハッシュ関数１７と同じハッシュ関数１８と、順列生成器１９とが接続されている。また、この制御装置１０には確認装置と各識別装置との間の通信を管理する通信インターフェースが接続されている。
【００４３】
次に、図５を参照してベクトルによるマトリックスの乗算関数の一実施例を説明する。この実施例は８ビットのベクトルｙを用いた単純化した方法である。図５に示したマトリックス乗算器Ｍは８ビットのベクトルｙを対応するサイズのマトリックスで乗算でき、８個のＡＮＤゲート 1₁, 1₂, 1₃, 1₄, 1₅, 1₆, 1₇, 1₈で構成されている。各ＡＮＤゲートの入力にはベクトルｙの１ビットとマトリックスの現在の行の１ビットが入る。ＡＮＤゲートの出力は排他的ＯＲゲートの三角網(reseau triangulaire) 2₁, 2₂, 2₃, 2₄, 3₁, 3₂, 4に入って、回路の出力側でマトリックスＭの現在の行によるｙのスカラー積に対応したビットが得られる。特に、ゲート 1₁, 1₂の出力は排他的ＯＲゲート２₁の入力へ送られ、ゲート 1₃, 1₄の出力は排他的ＯＲゲート２₂の入力へ送られ、これらの２つの排他的ＯＲゲートの出力は排他的ＯＲゲート 3₁の入力へ送られる。同様に、ゲート１₅, 1₆の出力は排他的ＯＲゲート２₃の入力へ送られ、ゲート 1₇, 1₈の出力は排他的ＯＲゲート２₄の入力へ送られ、これらの２つの排他的ＯＲゲートの出力は排他的ＯＲゲート 3₂の入力へ送られる。排他的ＯＲゲート 3₁, 3₂の出力は排他的ＯＲゲート４の入力に送られる。このゲート４の出力ＳはマトリックスＭの現在の行によるｙのスカラー積に対応する。
【図面の簡単な説明】
【図１】本発明の認証方法の第１の実施例を説明するための概念図。
【図２】本発明方法の第２の実施例を説明するための概念図。
【図３】本発明の識別装置のブロック図。
【図４】本発明の確認装置のブッロク図。
【図５】本発明のマトリックス／ベクトル乗算器の実施例の電気概念図。
【符号の説明】
１制御装置
２不揮発性メモリ
３ランダムアクセスメモリ
４ベクトル−マトリックス乗算器
５排他的ＯＲゲート
６ランダム数発生器
７ハッシュ機能
８置換発生器
１０制御装置
１１不揮発性メモリ
１２ハミング重み計算器１３比較器
１４ベクトル−マトリックス乗算器
１５ランダムアクセスメモリ
１６２進数排他的ＯＲ形成手段
１７ランダム数発生器
１８ハッシュ機能
１９置換発生器
２０通信インターフェース[0001]
[Industrial application fields]
The present invention relates to a method for authenticating at least one identification device by means of a verification device, in particular a protocol for invalidating decoding on the basis of the problem of syndrome par syndrome. connaissance). The invention further relates to an identification device and a confirmation device for carrying out the method.
The invention applies in particular to so-called security communications when exchanging data between two devices via a channel of questionable security.
[0002]
[Prior art]
In security communication, mutual recognition means, that is, means for allowing a user to access data or a service by authenticating the user is required. There are many needs for security communication, especially when the instructions are transferred by a bank computer. In this case, it must be ensured that the two computers can communicate correctly and not with unauthorized persons. Other examples include ticket vending machines, pay TV decoders, card payphones, and the like. In these systems, the identification device is composed of a portable device such as a chip card (also referred to as an IC card) or an electronic key. Effectiveness must be managed.
[0003]
A method often used in such a case is an authentication method based on an encryption method using a secret key, and until now, this method has been the most easily executed method. In this method, an identification device such as a chip card and a confirmation device (for example, a terminal device, a card reader, a decoder, a card public telephone, etc.) have the same secret key and are identified by a symmetric algorithm, that is, a one-way function . The disadvantage of this method is that both the verification device and the identification device must share a secret, and this condition is not always verified. That is, since the same secret key exists in both terminals of the network, that is, the confirmation device and the identification device, if the pirate acts to purchase the confirmation device and analyze it, the internal structure of the confirmation device can be known. However, it is technically possible for a pirate to make a high-performance identification device based on the analysis result.
[0004]
Among the various ways to protect against this drawback of the conventional method, protocols that disable decryption ensure higher security to date. The functional feature of the protocol that disables this decryption is that the identification device cannot be reconfigured only by exchanging information with the identification device for a limited number of times and thoroughly analyzing the structure of the verification device. It is in. Protocols that invalidate this decoding are described in US Pat. No. 4,748,668 of FIAT, European Patent Application No. A-0,311,470 of GUILLOU et al.
However, while this deciphering protocol is an ideal solution to the identification problem, it also has significant drawbacks. That is, in order to carry out this method, a very large number of operations are required, so that it is difficult to implement electronically.
[0005]
Therefore, various attempts have been made to develop an identification method that can be easily implemented electronically. One such method is described in US Pat. No. 4,932,056 to SHAMIR. The method described in this patent is called the PKP method and is relatively easy to implement electronically compared to other algorithms dealing with large numbers. However, there is a drawback that the exchange speed between the confirmation device and the identification device is slow.
[0006]
[Problems to be solved by the invention]
It is an object of the present invention to provide a rapid authentication method for an identification device using a confirmation device that can be easily implemented electronically, eliminating the above-mentioned drawbacks.
[0007]
[Means for Solving the Problems]
  The invention relates to an authentication method for authenticating at least one identification device by means of a verification device, which performs the authentication according to a protocol known as “Modular Knapsack”, ie a protocol which disables decoding based on the syndrome decoding problem I will provide a.
  The features of the authentication method of the present invention are as follows:
  (1) at least one vector s of size n and hamming weight d (d <n) to enable interaction between the identification device and the confirmation device_iAnd a matrix M and K of size n × k whose coefficients are randomly selected_i= Ms_iAt least one vector K such as_iAnd set a public key consisting of
  (2) The identification device generates a random vector y having a size n and a random permutation p, and encrypts the function parameters y, p, s, and M.hashObtained by applying the function (une function de hachage) Hcommitment(Engagement) to the confirmation device,
  (3) An arbitrary number of functions taken by the verification device and sent to the identification device, s_iWithout revealing the function elements with y, p, si with the identification device,
  (4) Using the received element and public key, the confirmation device uses the above number of functions.commitmentTest that is accurate,
  (5) The above operation is repeated a number of times according to the desired safety level. This safety level increases exponentially with the number of times.
[0008]
[Action]
The authentication method uses a matrix M of size n × k. The matrix M is common to all users and is randomly configured. Each user receives an n-bit word private key with a pre-written number of 1's. In this case, the system calculates the public key K, for example, K = MS.
Alternatively, each user can be given a plurality of secret keys s [1],..., S [w], and each can be combined with a public key K [i] = Ms [i]. These vectors s [1],..., S [w] preferably form an expanded unit code.
[0009]
  The above identification method is in principlecommitmentIt is based on the concept of technique d 'engagement. Now let U be a sequence of binary elements.commitmentIs a constant cipherhashIt is an image of U through a function. thiscommitmentIs used as a one-way function.
[0010]
In the first embodiment of the authentication method of the present invention, in the first stage,
(a) Common to each process, the identification device has its identifier and / or this identifier_iIdentify one or more keys assigned to the verification device that confirms that
Then, after selecting a random vector y and a random permutation p,
(b) The identification device is:
h₁= H (p, My), h₂= H (y_p), H_Three= H (y xor s)_p)
Permutation to the confirmation device {h₁, H₂, H_Three}.
(Where x_pRepresents a vector x replaced with p, and xor represents an exclusive OR function)
(c) Next, the confirmation device randomly takes the number 0 <q <4 and sends this number to the identification device.
(d) The identification device then calculates the response r defined below and sends it to the confirmation device:
If q = 1, r = {y, p}
If q = 2, then r = {y xor s, p}
If q = 3, then r = {y_p, S_p}
(e) The confirmation device receives r = {U, V} and checks that:
If q = 1, h₁= H (V, MU), h₂= H (U_v)
If q = 2, h₁= H (V, (MU) xor K), h_Three= H (U_v)
If q = 3, h₂= H (U), h_Three= H (U xorV) and V's hamming weight (poids de Hamming) is d.
(f) When the test corresponding to q is confirmed to be correct, the verification device
Le is considered to have finished successfully.
[0011]
  In another embodiment of the invention, the vector s is replaced by w vectors s [1], s [2],... S [W] to form a unitary code with weight d. In this example, after selecting a random vector y and a random permutation p,
(B) The identification device is h₁= H (M_y, P), h₂= H (y_p, S [1]_p, ..., s [w]_p)commitment{H₁, H₂} To the identification device.
(C) The confirmation device randomly takes binary vectors b [1],..., B [w] and sends them to the identification device.
(D) The identification device calculates a response z defined by the following equation and sends it to the confirmation device:
  z = y_p  xor r s [1]_pb [1] xor s [2]_pb [2] xor s [3]_pb [3] ... xor s [w]_pb [w]
(E) The confirmation device randomly takes the bit q and sends it to the identification device.
(F) The identification device sends an answer r defined by the following formula:
  If q = 0, r = {y_p, S [1]_p, ..., s [w]_p}
  If q = 1, r = {p}
(G) If q = 0, the confirmation device receives a response r = {r [0], r [1],..., R [w]}
  If q = 1, r = {r [0]} is received.
(H) The verification device checks the following:
  If q = 0, h₂= H (r), z = r [0] xor r [1] b [1] xor r [2] b [2] xor r [3] b [3]... Xor r [w] b [w ], {R [1], r [2],... R [w]} form a single code.
  If q = 1, then H (M (permutation (z, r [0])) xor (K [1] b [1] xor K [2] b [2] xor K [3] b [3]. Xor K [w] b [w]), r [0]) = h₁
  (Where K [i] = Ms [i])
(I) When it is clear that the test corresponding to q is correct, the verification device considers that the protocol has been successfully completed.
  Other advantages of the present invention will become apparent from the following various embodiments of the method of the present invention with reference to the accompanying drawings.
[0012]
【Example】
The present invention relates to a novel authentication method implemented by a protocol for invalidating decryption.
The security of the method of the present invention is based on the syndrome decoding (DS) problem. The syndrome decoding (DS) problem can be explained as follows. That is, in the case of the binary matrix M and the binary vector K, it is to find a binary vector s having a relatively large or small weight s such as Ms = K. The weight means the number of 1 bits in the vector. This problem is extremely difficult to solve by currently known calculation means when the size of the matrix M and the hamming weight (s) of s are correctly selected. Known algorithms to solve the problem of syndrome decoding, such as the JS Leon paper `` A probabilistic algorithm for computing minimum weights of large error -correcting codes) "(IEEE TIT 34 (5) pp. 1354-1359) and J. Stern's paper" A method for finding codewords of small weight "" (Coding Theory & Applications, notes de lecture en Computer Science 388 (1989), pp. 106-113), the computation time increases exponentially in proportion to the size of the matrix.
[0013]
In actual calculation means, when the size of M is about 500 × 250 and the value of d is close to 50, s cannot be calculated. However, if s (by chance, with the correct weight) is known, K can be calculated.
In the present invention, this one-way characteristic can be used to test whether the identification device has s without knowing its value during interaction by a confirmation device that knows K.
[0014]
When carrying out the authentication method of the present invention, a legitimate authorized person (autorite, a legitimate user permitted to access) is assigned a coefficient a._ijRandomly select and publish a matrix M composed of In practice, to avoid storing the entire matrix M, each coefficient a by f (i, j)_ij(Where f is any published pseudo-random function).
In addition, the legitimate authority can set a binary vector set s having a relatively small Hamming weight._jIe s₁, s₂, ..., s_nAnd distribute it to each identification device. Therefore, the identification device i is s_iReceive. Meanwhile, public key K_i(However, K_i= Ms_i).
[0015]
In another embodiment, the authorized person is K_iThe private key that constitutes the closed secret code system that requires mutual communication with the authorized person to sign the password and validate the public key_iUsing the identification system of the holders.
Hereinafter, two special embodiments of the method of the present invention will be described.
[0016]
  The first method will be described with reference to FIG.
  FIG. 1 is a conceptual diagram of a communication protocol executed between an identification device and a confirmation device for authentication. The identification device is a device that is physically inaccessible, such as a chip card or an electronic key. In the case of a chip card, it is impossible to access the internal memory, but no assumption is made regarding the environment of the verification device.
  In the identification device and the confirmation device conceptually shown in FIG. 3 and FIG. 4, the identification device stores its secret key s in the nonvolatile memory._iAnd a matrix M. Similarly, the verification device has a set of public keys K in the non-volatile memory._iAnd a matrix M.
  The protocol executed by the two devices when the identification device contacts the verification device is as follows:
(A) First, the identification device has its identifier and / or its key K_iTo the confirmation device and its identifier is the vector K_iConfirm that it corresponds to.
(B) Next, the identification device selects a random binary vector y and a random permutation p. The identification device then has the following elements:
  h₁= H (p, My), h₂= H (y_p), H₃= H (y xor s)_p) To calculate and confirmcommitment{H₁, H₂, H₃}.
  (Where x_pRepresents a vector x permuted by p, where xor represents an exclusive OR)
(C) Next, the confirmation device takes a random number 0 <q <4 and sends the number to the identification device.
(D) Next, the identification device calculates the answer defined below and sends it to the confirmation device:
  If q = 1, r = {y, p}
  If q = 2, then r = {y xor s, p}
  If q = 3, then r = {y_p, S_p}
(E) The confirmation device receives r = {U, V} and tests the following:
  If q = 1, h₁= H (V, MU) and h₂= H (U_v)
  If q = 2, h₁= H (V, (MU) xor K) and h₃= H (U_v)
  If q = 3, h₂= H (U), h₃= H (U xor V) and the hamming weight of V is d.
(F) If the test corresponding to q is correct, the verification device ends the protocol successfully. If the test is not correct, the identification device is rejected.
  When the identification device is accepted, a control impulse is sent to the input / output interface of the protection system to initiate a subsequent transaction. The entire operations described above are shown in FIG. 1. The left part of each operation is performed on the identification apparatus side, and the right part is each operation performed on the confirmation apparatus side. Arrows indicate that information is sent from one device to the other.
[0017]
In order to increase the safety of the process, the identification device and the confirmation device repeat the above steps a plurality of times, i.e., t times, and the confirmation device is the identification device only when the protocol is successful at all times. Is preferably not authenticated. Preferably t is selected such that 0 <t <60.
[0018]
  The above basic method can be modified in various ways in order to simplify the implementation electronically and to shorten the calculation time. That is, the vector My is transferred with the key and the corresponding test is changed to H₁= H (p) can be redefined. In another embodiment, the verification device and / or identification device performs a partial test on the secondary set of vector coordinates to perform the calculation more quickly. In these cases, some steps in the process are changed as follows:
  That is, after selecting a random vector y and a random permutation p,
(B) The identification device has the following formula:
  h₁= H (p), h₂= H (y_p), H₃= H (y xor s)_p)
To the confirmation devicecommitment{H₁, H₂, H₃}
(C) Next, the verification device separates the list G = {g₁... g_f} (However, 1 <g_i<K) is taken at random and sent to the identification device,
(D) The identification device calculates only the f bits of My whose substitution is indicated by G and sends the resulting vector Z to the confirmation device.
[0019]
In this case, step (e) is also changed as follows:
(e) The confirmation device receives r = {U, V} and controls as follows:
If q = 1, h₁= H (V), h₂= H (U_v) And Extract (MU, G) xor Z = 0 (where Extract (MU, G) represents the projection vector obtained by selecting only the bits represented by G in x) ,
If q = 2, h₁= H (V), h_Three= H (U_v) And extract (MU xorK, G) xor Z = 0,
If q = 3, h₂= H (U), h_Three== H (U xor V) and the Hamming weight of V is d.
[0020]
  In another embodiment of the method of the invention, step (b) is modified as follows:
(B) After selecting the random vector y and the random permutation p, the identification device has the following formula:
  h₁= H (p), h₂= H (y_p), H₃= H (y xor s)_p) To calculate and confirmcommitment{H₁, H₂, H₃}
(C) The identification device is Q = M_yAnd the obtained vector Q is sent to the confirmation device, and (d) the confirmation device separates the list G = {g₁... g_f} (Where 1 <g_i<K) is taken randomly to calculate the vector Z = extract (Q, G).
  In this case, step (e) is changed as follows:
(E) The confirmation device receives r = {U, V} and controls as follows:
  If q = 1, h₁= H (V), h₂= H (U_v) And extract (MU, G) xor Z = 0),
  If q = 2, h₁= H (V), h₃= H (U_v) And extract (MU xor K, G) xor Z = 0,
  If q = 3, h₂= H (U), h₃== H (U xor V) and the Hamming weight of V is d.
[0021]
  Next, another embodiment of the authentication method of the present invention will be described with reference to FIG. Although this second embodiment requires more computation than the previous embodiment, the probability of illegality of the illegitimate decreases more rapidly. In this case, the vector s_iReplaces with a set of vectors s [1],... S [w] that form an extended unit code. The vector K_iIs replaced with a set of vectors K [1],... K [w] such that M (s [i]) = K [i].
  This embodiment has the following steps of FIG. 2, indicated by symbols similar to those used in FIG.
(A) After the identification device selects a random vector y and a random permutation p,
  h₁= H (My, p), h₂= H (y_p, S [1]_p, ..., s [w]_p) To the confirmation devicecommitment{H₁, H₂}
(B) The confirmation device takes a binary vector b [1],..., B [w] at random and sends it to the identification device;
(C) The identification device calculates the response z defined by the following equation and sends it to the confirmation device:
  z = y_p  xor s [1]_pb [1] xor s [2]_pb [2] xor s [3]_pb [3] ... xor s [w]_pb [w]
(D) The confirmation device takes bit q at random and sends it to the identification device;
(E) The identification device sends a response r defined by the following equation:
  If q = 0, r = {y_p, S [1]_p, ..., s [w]_p}
  If q = 1, r = {p}
(F) The confirmation device receives responses r = {r [0], r [1],..., R [w]} if q = 0, and r = {r [0] if q = 1. }
(G) The verification device performs the following tests:
  If q = 0, h₂= H (r), z = r [0] xor r [1] b [1] xor r [2] b [2] xor r [3] b [3]... Xor r [w] b [w ] And {r [1], r [2],... R [w]} form a unit code,
  If q = 1, then H (M (permutation (z, r [0])) xor (K [1] b [1] xor K [2] b [2] xor K [3] b [3]. Xor K [w] b [w], r [0]) = h₁
(H) When the test corresponding to q is found to be accurate,
Tocol is considered a successful exit.
[0022]
  This method can be modified to perform a simplified check on the secondary set of vector coordinates as described above, in order to avoid the depermutation of the vector z. In this case, for example, it has the following steps:
(A) After the identification device selects a random vector y and a random permutation p, h₁= H (p), h₂= H (y_p, S [1]_p, ..., s [w]_p) To calculate and confirmcommitment{H₁, H₂} And vector h₀= M_ySend
(B) The confirmation device takes a binary vector b [1],..., B [w] at random and sends it to the identification device;
(C) The identification device calculates the response z defined by the following equation and sends it to the confirmation device:
z = y_p  xor s [1]_pb [1] xor s [2]_pb [2] xor s [3]_pb [3] ... xor s [w]_pb [w]
(D) The confirmation device takes bit q at random and sends it to the identification device;
(E) The identification device sends a response r defined by the following equation:
  If q = 0, r = {y_p, S [1]_p, ..., s [w]_p}
  If q = 1, r = {p}
(F) The confirmation device receives responses r = {r [0], r [1],..., R [w]} if q = 0, and r = {r [0] if q = 1. }
(G) The verification device tests:
  If q = 0, h₂= H (r), z = r [0] xor r [1] b [1] xor r [2] b [2] xor r [3] b [3]... Xor r [w] b [w ] And {r [1], r [2],..., R [w]} form a single code.
  If q = 1, h₁= H (r [0]) and (h₀) R [_0]  xor (K [1] b [1] xor K [2] b [2] xor K [3] b [3]... xor K [w] b [w]) r_[0]= Z
  When the corresponding test is found to be accurate, the verification device considers the protocol completed successfully.
  As in the case of the first embodiment, the above protocol is also repeated t times, and the confirmation device can authenticate the identification device only when all the times of the protocol are successful.
[0023]
The safety of the above two methods depends on various parameters, particularly the sizes of d, n, k and t. It will be apparent to those skilled in the art that the choice of t can be easily changed during operation at the level of two devices communicating with each other. The parameters d, n and k are system parameters and their selection is initially determined and is difficult to change.
These parameters d, n, k are preferably selected at the Warshamov-Gilbert limit, which gives a theoretical limit value for the minimum weight of the random code (n, K). That is, d = nH₂(K / n) (where H₂(x) is the entropy function H₂(X) = − x log₂(X)-(1-x) log₂(1-x)). In this case, d is selected as follows:
d = (k−n) log₂(1- (k / n))-klog₂(K / n) or
d = (n- (k-n) log₂(1- (k / n)) + klog₂(K / n)
[0024]
In addition, it is convenient to add a relational expression such as 2k = n that connects the values of n and k under the limitation of Warshamov-Gilbert limit.
Using the above relation, preferably d = 0.11n or d = 0.89n, the set of n and k can take one of the following values:
{N = 384, k = 196} or {n = 512, k = 256} or {n = 1024, k = 512} or {n = 768, k = 384}
[0025]
  In an alternative embodiment that can be used in all the above methods,hashInstead of a function de encryption function,HashedThe message a message serves as a key and / or message to be encrypted andHashedControl of the truth of the messageHashedIdentify the message and / or encryption key. You can refer to the following publications on this issue:
(1) Ivan Damgaard, Crypt '89hashFunction design principles (Design principles for hash-functions)
(2) Naoru ’s “One Direction”hashOne-way hash functions and therographic applications ”(Proceedings of the 21)^st  (annual ACM Symposium on theory of computing, Seatle, Washington, May 15-17, 1989, pages 33-43)
(3) Matias, “Generating strong one-way functions with cryptographical algorithm” (IBM Technical Disclosure Vol. 3, Vol. 10, Vol. 5, Vol. 5, Vol. 10, Vol. 5, Vol. 10, No. 3, Month, 585-5695).
[0026]
In the method based on “Modular Knapsack”, the selection of vector y and all calculations are performed in modulo m, and the xor operation is replaced by addition or subtraction of modulo m. The weight test is replaced by checking whether all coordinates of the vector are 0 or 1, and checking that the weight of this vector is constant, and the relation between n, k and m is n− kIn (m) / In2 and nk> 64. Therefore, m is the

number

2, 3, 5, 7 or 2^c(Where c is a small integer) and the set {n, k, m} can take one of the following:
{196, 128, 3} or {384, 256, 3} or {128, 64, 5} or {192, 96, 5}
[0027]
  In most cases, it is important to have a means to deduct s from the identifier ID of the holder of the identification device. Thus, for example, the public key K on the confirmation device_iBackup and prevent new users from joining the system and changing the public key dictionary.
  For this reason, the legitimate authorized person must extend the unit code σ that is expanded at once for all common parameters.₁, ..., σ_uSelect.
  To record a user whose identifier is an ID, a one-way function of paplik (for example,hashFunction) ID valueHashBinary vector e₁... e_uAnd calculate the following [Equation 2]:
[0028]
[Formula 2]

[0029]
K₁= M (σ₁) ... K_u= M (σ)_uAnd the user ID is S_IDgive.
The confirmation device calculates the following [Equation 3] and the identification device_IDCan be confirmed to have:
[0030]
[Formula 3]

(Where vector e₁... e_uIs the IDhashGiven by)
[0031]
In order to reach a sufficient safety level, it is essential that u> 40, and for that purpose, a unit code having a considerably large size is empirically required. Actually, a set of L small unit codes (for example, d = 64, dim = 7, n = 580, k = 290, L = 8) is selected, and for each user, as follows: L secret keys s [1] obtained_ID, S [2]_ID, ..., s [L]_IDBy calculating, it is possible to easily achieve an appropriate size.
Select size dim at once for all unit codes L,
σ [1]₁... σ [1]_dim
σ [2]₁・・・・・・ Σ [2]_dim
σ [L]₁... σ [L]_dim
Complete set of public keys K [i] on each identification device_j= M (σ [i]_j) (Where i = 1,... L, j = 1,... Dim)
[0032]
For each user
(1) H (ID) = e₁... e_uCalculate
(2) The vector is divided into L segments e [1],... E [L] each having dim bits,
(3) Calculate [Equation 4] below for i = 1 to L
[0033]
[Formula 4]

[0034]
(4) s [1] to the user_ID, S [2]_ID... s [I]_IDgive.
[0035]
  Each s [i]_IDIs serial (s [i]_IDAre used in sequence) or in parallel:
(A) the identification device reveals its identifier ID to the verification device;
(B) The confirmation device is K [1]_ID, K [2]_ID... K [L]_IDCalculate
(C) The identification device selects L vectors y [1],... Y [L] and L permutations p [1],.₁= H [{p [1]}, {My [i]}],
h₂= H ({y [i]_{p [i]}}), H₃= H [{y [i] xor s [i]_{p [i]}}) To the confirmation devicecommitment{H₁, H₂, H₃}
(D) The confirmation device takes a random number 0 <q <4 and sends it to the identification device;
(E) The identification device sends a response r defined below to the confirmation device:
  If q = 1, r = {{y [i]}, {p [i]}}
  If q = 2, then r = {{y [i] xor s [i]}, {p [i]}}
  If q = 3, then r = {{y [i]_{p [i]}}, {S [i]_{p [i]}}}
(F) The verification device receives r = {U, V} and tests the following:
  If q = 1, h₁= H [{V [i]}, {MU [i]}] and
                h₂= H ({U [i] V_[I]})
  If q = 2, h₁= H [{V [i]}, {MU [i] xor K [i]}) and h3 = H ({U [i]_{v [i]}})
  If q = 3, h₂= H ({U [i]}, h₃= H ({U [i] xor V [i]}) and the weight of V [i] is d
(G) When the test corresponding to q is found to be accurate, the verification device considers that the protocol has been successfully completed.
(H) The above steps (a) to (f) are repeated t times between both apparatuses.
[0036]
  The parallel protocol is as follows:
(A) the identification device reveals its identifier ID to the verification device;
(B) The confirmation device is K [1]_ID, K [2]_ID... K [L]_IDCalculate
(C) The identification device selects L vectors y [1],... Y [L] and L permutations p [1],.₁= H [{p [1]}, {My [i]}], h₂= H ({y [i]_{p [i]}}), H₃= H [{y [i] xor s [i]_{p [i]}}) To the confirmation devicecommitment{H₁, H₂, H₃}
(D) The confirmation device randomly takes L numbers q [1],... Q [L] (where 0 <q <4) and sends it to the identification device;
(E) The identification device calculates the response r [1] defined below and sends it to the confirmation device:
  If q [i] = 1, r [i] = {y [i], p [i]}
  If q [i] = 2, then r [i] = {y [i] xor s [i], p [i]}
  If q [i] = 3, then r [i] = {y [i]_{p [i]}s [i]_{p [i]}}
(F) The confirmation device receives {r [i]} and is obvious to those skilled in the art.commitmentTo control.
[0037]
Other ways of associating IDs with s are as follows:
Introduce t secret weights in which 1 bit is divided into 2at positions. That is, s [1], s [2],..., S [t], and Ms [i] is published for i = 1,.
In this case, the key is created by the following procedure. Finding words like [Equation 5] below can be easily done with partial triangulation (Tiangulation partielle):
[0038]
[Formula 5]

The weight of s is about ta-t / 2.
[0039]
The size selection in this system is usually the following relation: 0.11n = ta-t / 2, 2k = n and 2atδ> 56 (where 2a-2aH₂(δ) Dominated by -1).
In the case of t = 56, generally, d = 95, n = 863, and k = 432. It will be apparent to those skilled in the art that other combinations are possible.
[0040]
  Next, a conceptual embodiment of the identification device will be described with reference to FIG. The identification device can be a chip card, for example.
  The identification device includes a control device 1 and a non-volatile memory 2 (the non-volatile memory 2 is, for example, a function capable of obtaining the matrix M or a coefficient of the matrix M and a secret key s of the identification device itself)._iA random access memory 3, a vector-matrix multiplier (the function of which will be described later with reference to FIG. 5), and a binary exclusive OR implementation means. 5 and a random number generator 6;hashIt has a function 7 and a permutation generator 8, all these elements being physically protected. Furthermore, the identification device is provided with a communication interface for exchanging data between the confirmation device and the control device of the identification device. Random number generator 6 may be formed, for example, by a digital white noise source generated by a reverse polarized zener diode in a so-called “coud” region, or by Gunter US Pat. No. 4,817,145. Or a pseudorandom number generator described in U.S. Pat. No. 4,649,419 of ARAGON. The permutation generator 8 used, for example, the method described in “Night generation of permutation” (South African Computer Journal No. 2, 1990, pp. 12-16) by David Naccache. A binary vector permutation device can be provided.
[0041]
  hashThe function (defunction) was announced by Rivest at crypto 90hashFunction MD4, can be made by appropriately repeated FFT-HashII or encryption algorithm DES published by Schnor in European crypto 92.
[0042]
  FIG. 4 shows a confirmation device. The confirmation device includes a control device 10, which includes a ROM type non-volatile memory 11 containing a matrix M and a public key K, a Hamming weight calculator 12, a comparator 13, A matrix-vector multiplier 14, a random access memory 15, a binary exclusive OR implementation means 16 identical to the means 5 of the identification device, a random number generator 17,hashSame as function 17hashA function 18 and a permutation generator 19 are connected. In addition, a communication interface that manages communication between the confirmation device and each identification device is connected to the control device 10.
[0043]
Next, an example of a matrix multiplication function using vectors will be described with reference to FIG. This embodiment is a simplified method using an 8-bit vector y. The matrix multiplier M shown in FIG. 5 can multiply an 8-bit vector y by a matrix of a corresponding size, and has eight AND gates 1.₁, 1₂, 1_Three, 1_Four, 1_Five, 1₆, 1₇, 1₈It consists of Each AND gate input contains one bit of vector y and one bit of the current row of the matrix. AND gate output is exclusive OR gate triangle (reseau triangulaire) 2₁, 2₂, 2_Three, 2_Four, 3₁, 3₂, 4 at the output side of the circuit, the bit corresponding to the scalar product of y by the current row of the matrix M is obtained. Especially the

gate

1₁, 1₂Output of the exclusive OR gate 2₁Sent to the input of the

gate

1_Three, 1_FourOutput of the exclusive OR gate 2₂And the output of these two exclusive OR gates is the exclusive OR gate 3₁Sent to the input. Similarly,

gate

1_Five, 1₆Output of the exclusive OR gate 2_ThreeSent to the input of the

gate

1₇, 1₈Output of the exclusive OR gate 2_FourAnd the output of these two exclusive OR gates is the exclusive OR gate 3₂Sent to the input. Exclusive OR

gate

3₁, 3₂Is sent to the input of the exclusive OR gate 4. The output S of this gate 4 corresponds to the scalar product of y by the current row of the matrix M.
[Brief description of the drawings]
FIG. 1 is a conceptual diagram for explaining a first embodiment of an authentication method of the present invention.
FIG. 2 is a conceptual diagram for explaining a second embodiment of the method of the present invention.
FIG. 3 is a block diagram of an identification apparatus according to the present invention.
FIG. 4 is a block diagram of the confirmation device of the present invention.
FIG. 5 is an electrical conceptual diagram of an embodiment of a matrix / vector multiplier of the present invention.
[Explanation of symbols]
1 Control device
2 Nonvolatile memory
3 Random access memory
4 Vector-matrix multiplier
5 Exclusive OR gate
6 Random number generator
7hashfunction
8 Replacement generator
10 Control device
11 Nonvolatile memory
12 Hamming weight calculator 13 Comparator
14 Vector-matrix multiplier
15 Random access memory
16 Binary number exclusive OR forming means
17 Random number generator
18hashfunction
19 Replacement generator
20 Communication interface

Claims

ゼロ知識入力プロトコルによって認証が実施される、確認装置を使用して少なくとも１つの識別装置を認証する認証方法において、ゼロ知識入力プロトコルは、シンドローム問題によるデコード又はモジュラーナップザックとして知られた問題に基づいており、且つ、
（１）識別装置と確認装置との間の対話を可能にするためのサイズがｎでハミング重みがｄ（ｄ＜ｎ）である少なくとも１つのベクトルｓ_ｉで構成された識別装置における第１不揮発性メモリにおける秘密キーと、係数がランダムに選択されるサイズがｎ×ｋのマトリックスＭと少なくとも１つのベクトルＫ_ｉ（Ｋ_ｉ＝Ｍｓ_ｉ）とで構成される確認装置における第２不揮発性メモリにおけるパブリックキーとを設定するステップと、
（２）識別装置側の第１ランダムアクセスメモリで、サイズがｎのランダムに選択されるベクトルｙとランダムに選択される順列ｐとを生成し、ｙ、ｐ、ｓ、Ｍの関数としてパラメータに暗号ハッシュ関数Ｈを適用して得られたコミットメントを通信インターフェースにより確認装置へ送るステップと、
（３）確認装置の第１ランダムアクセスメモリにより選択されたそして通信インターフェースにより識別装置へ送られたランダム数の関数として、ｓ_ｉを明らかにしないで、識別装置へ、ｙ、ｐ、ｓ_ｉの関数としてある要素を明らかにするステップと、
（４）ランダム数の関数として、受信された要素とパブリックキーとを用いて確認装置側でコミットメントが正確であることをテストするステップと、
（５）所望の安全レベルに応じた回数で上記の動作を反復するステップと
を有することを特徴とする、認証方法。In an authentication method in which at least one identification device is authenticated using a verification device, where authentication is performed by a zero knowledge input protocol, the zero knowledge input protocol is based on a problem known as syndrome problem or modular knapsack. And
(1) First non-volatile in an identification device configured with at least one vector s _i having a size n and a Hamming weight d (d <n) for enabling interaction between the identification device and the confirmation device In the second non-volatile memory in the verification device comprising the secret key in the volatile memory, the matrix M having a size of n × k whose coefficients are selected at random, and at least one vector K _i (K _i = Ms _i ) Setting a public key;
(2) The first random access memory on the identification device side generates a randomly selected vector y of size n and a randomly selected permutation p, and uses them as parameters as functions of y, p, s, and M Sending the commitment obtained by applying the cryptographic hash function H to the verification device via a communication interface;
(3) Without identifying s _i as a function of the random number selected by the first random access memory of the confirmation device and sent to the identification device by the communication interface, the identification device is given y, p, s _i Revealing an element as a function,
(4) testing that the commitment is correct on the verification device side using the received element and the public key as a function of a random number;
(5) A step of repeating the above operation a number of times according to a desired safety level.

上記ベクトルｓ_ｉが２進数ベクトルである請求項１に記載の方法。The method of claim 1, wherein the vector s _i is a binary vector.

ランダムに選択されたベクトルｙとランダムに選択された順列ｐを選択した後に識別装置が下記の式：
ｈ_１＝Ｈ（ｐ、Ｍｙ）、ｈ_２＝Ｈ（ｙｐ）、ｈ_３＝Ｈ（ｙｘｏｒｓ）ｐ）
を計算して確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り（ここで、ｘ_ｐはｐで順列化されたベクトルｘを表し、ｘｏｒは排他的ＯＲ関数を表す）、次に、確認装置はランダムな数０＜ｑ＜４を取り、その数を識別装置へ送り、次に、識別装置は、下記のように：
ｑ＝１ならば、ｒ＝｛ｙ、ｐ｝
ｑ＝２ならば、ｒ＝｛ｙｘｏｒｓ、ｐ｝
ｑ＝３ならば、ｒ＝｛ｙｐ、ｓｐ｝
によって定義される応答を計算して確認装置に送り、確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記：
ｑ＝１ならば、ｈ_１＝Ｈ（Ｖ、ＭＵ）かつｈ_２＝Ｈ（Ｕｖ）
ｑ＝２ならば、ｈ_１＝Ｈ（Ｖ、（ＭＵ）ｘｏｒＫ）かつｈ_３＝Ｈ（Ｕｖ）
ｑ＝３ならば、ｈ_２＝Ｈ（Ｕ）、ｈ_３＝Ｈ（ＵｘｏｒＶ）かつＶのハミング重みはｄである
ことをテストし、
ｑに対応するテストが正確であること分かった時に、確認装置はプロトコルが成功裏に終了したとみなす請求項１または２に記載の方法。After selecting a randomly selected vector y and a randomly selected permutation p, the identification device has the following formula:
h ₁ = H (p, My), h ₂ = H (yp), h ₃ = H (y xor s) p)
And send the commitment {h ₁ , h ₂ , h ₃ } to the confirmation device (where x _p represents the vector x permuted by p, xor represents the exclusive OR function), then The confirmation device takes a random number 0 <q <4 and sends the number to the identification device, which then identifies the following:
If q = 1, r = {y, p}
If q = 2, then r = {y xor s, p}
If q = 3, r = {yp, sp}
The response defined by is sent to the confirmation device, which receives r = {U, V} and:
If q = 1, h ₁ = H (V, MU) and h ₂ = H (Uv)
If q = 2, h ₁ = H (V, (MU) xor K) and h ₃ = H (Uv)
If q = 3, test that h ₂ = H (U), h ₃ = H (U xor V) and the hamming weight of V is d,
The method according to claim 1 or 2, wherein when the test corresponding to q is found to be accurate, the verification device considers that the protocol has been successfully completed.

ランダムに選択されたベクトルｙとランダムに選択された順列ｐとを選択した後、識別装置が下記の式：
ｈ_１＝Ｈ（ｐ）、ｈ_２＝Ｈ（ｙｐ）、ｈ_３＝Ｈ（ｙｘｏｒｓ）ｐ）
を計算して確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り、
確認装置は互いに分離した数のリストＧ＝｛ｇ_１、・・・ｇ_ｆ｝（ここで、１＜ｇ_ｉ＜ｋ）をランダムに取ってそれを識別装置に送り、
識別装置はＧによって示された位置でＭｙのｆビットのみを計算し、この計算で得られたベクトルＺを確認装置へ送り、
確認装置はランダムな数０＜ｑ＜４を取り、その数を識別装置へ送り、
識別装置は下記：
ｑ＝１ならば、ｒ＝｛ｙ、ｐ｝
ｑ＝２ならば、ｒ＝｛ｙｘｏｒｓ、ｐ｝
ｑ＝３ならば、ｒ＝｛ｙ_ｐ、ｓ_ｐ｝
で定義される応答ｒを計算して確認装置に送り、
確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記のように制御し：
ｑ＝１ならば、ｈ_１＝Ｈ（Ｖ）、ｈ_２＝Ｈ（Ｕ_ｖ）かつエキス（ＭＵ、Ｇ）ｘｏｒＺ＝０（ここで、エキス（ｘ、Ｇ）はｘ中でＧによって表されたビットだけを選択することによって得られた射影ベクトルを表す）、
ｑ＝２ならば、ｈ_１＝Ｈ（Ｖ）、ｈ_３＝Ｈ（Ｕ_ｖ）かつエキス（ＭＵｘｏｒＫ、Ｇ）ｘｏｒＺ＝０、
ｑ＝３ならば、ｈ_２＝Ｈ（Ｕ）、ｈ_３＝＝Ｈ（ＵｘｏｒＶ）かつＶのハミング重みはｄである、
ｑに対応するテストが正確であること分かった時に、確認装置はプロトコルが成功裏に終了したとみなす請求項１または２に記載の方法。After selecting a randomly selected vector y and a randomly selected permutation p, the identification device has the following formula:
h ₁ = H (p), h ₂ = H (yp), h ₃ = H (y xor s) p)
And send the commitment {h ₁ , h ₂ , h ₃ } to the confirmation device,
The verification device takes a list of numbers G = {g ₁ ,... G _f } (where 1 <g _i <k) at random and sends it to the identification device,
The discriminator calculates only the f bits of My at the position indicated by G and sends the vector Z obtained by this calculation to the verifier,
The confirmation device takes a random number 0 <q <4 and sends the number to the identification device,
The identification devices are:
If q = 1, r = {y, p}
If q = 2, then r = {y xor s, p}
If _{q = 3, r = {y} p, s p}
The response r defined by is calculated and sent to the confirmation device,
The confirmation device receives r = {U, V} and controls as follows:
If q = 1, h ₁ = H (V), h ₂ = H (U _v ) and extract (MU, G) xor Z = 0 (where extract (x, G) is represented by G in x. Represents the projection vector obtained by selecting only the given bits),
If q = 2, h ₁ = H (V), h ₃ = H (U _v ) and extract (MU xor K, G) xor Z = 0,
If q = 3, h ₂ = H (U), h ₃ == H (U xor V) and the hamming weight of V is d,
The method according to claim 1 or 2, wherein when the test corresponding to q is found to be accurate, the verification device considers that the protocol has been successfully completed.

ランダムに選択されたベクトルｙとランダムに選択された順列ｐとを選択した後に、識別装置が下記の式：
ｈ_１＝Ｈ（ｐ）、ｈ_２＝Ｈ（ｙ_ｐ）、ｈ_３＝Ｈ（ｙｘｏｒｓ）ｐ）を計算して確認装置にコミットメント｛ｈ_１、ｈ_２、ｈ_３｝を送り、
識別装置はＱ＝Ｍ_ｙを計算し、得られたベクトルＱを確認装置へ送り、
確認装置は互いに分離した数のリストＧ＝｛ｇ_１、・・・ｇ_ｆ｝（ここで、１＜ｇ_ｉ＜ｋ）をランダムに取ってベクトルＺ＝エキス（Ｑ、Ｇ）を計算し、
確認装置はランダムな数０＜ｑ＜４を取ってその数を識別装置へ送り、
次に、識別装置は下記：
ｑ＝１ならば、ｒ＝｛ｙ、ｐ｝
ｑ＝２ならば、ｒ＝｛ｙｘｏｒｓ、ｐ｝
ｑ＝３ならば、ｒ＝｛ｙｐ、ｓｐ｝
で定義される応答ｒを計算して確認装置へ送り、
確認装置はｒ＝｛Ｕ、Ｖ｝を受けて下記の制御をし：
ｑ＝１ならば、ｈ_１＝Ｈ（Ｖ）、ｈ_２＝Ｈ（Ｕ_ｖ）かつエキス（ＭＵ、Ｇ）ｘｏｒＺ＝０）、
ｑ＝２ならば、ｈ_１＝Ｈ（Ｖ）、ｈ_３＝Ｈ（Ｕ_ｖ）かつエキス（ＭＵｘｏｒＫ、Ｇ）ｘｏｒＺ＝０、
ｑ＝３ならば、ｈ_２＝Ｈ（Ｕ）、ｈ_３＝Ｈ（ＵｘｏｒＶ）かつＶのハミング重みはｄである、
ｑに対応するテストが正確であることが分かった時に、確認装置がプロトコルが成功裏に終了したとみなす請求項１に記載の１に記載の方法。After selecting a randomly selected vector y and a randomly selected permutation p, the identification device has the following formula:
Calculate h ₁ = H (p), h ₂ = H (y _p ), h ₃ = H (y xor s) p) and send the commitment {h ₁ , h ₂ , h ₃ } to the confirmation device,
Identification device calculates the Q = M _y, sends the resulting vector Q to the confirmation device,
The confirmation device calculates a vector Z = extract (Q, G) by randomly taking a list of numbers G = {g ₁ ,... G _f } (where 1 <g _i <k) separated from each other,
The confirmation device takes a random number 0 <q <4 and sends the number to the identification device,
Next, the identification device is:
If q = 1, r = {y, p}
If q = 2, then r = {y xor s, p}
If q = 3, r = {yp, sp}
The response r defined by is calculated and sent to the confirmation device,
The confirmation device receives r = {U, V} and performs the following control:
If q = 1, h ₁ = H (V), h ₂ = H (U _v ) and extract (MU, G) xor Z = 0),
If q = 2, h ₁ = H (V), h ₃ = H (U _v ) and extract (MU xor K, G) xor Z = 0,
If q = 3, h ₂ = H (U), h ₃ = H (U xor V) and the hamming weight of V is d,
The method according to claim 1 , wherein when the test corresponding to q is found to be accurate, the verification device considers that the protocol has been successfully completed.

ベクトルｓ_ｉが長い単体コードを形成するベクトルの組ｓ［１］，・・・ｓ［ｗ］によって置換されている請求項１に記載の方法。The method according to claim 1, wherein the vector s _i is replaced by a set of vectors s [1], ... s [w] forming a long unit code.

ベクトルＫ_ｉがベクトルの組Ｋ［１］、・・・Ｋ［ｗ］によって置換されて、Ｍ（ｓ［ｉ］）＝Ｋ［ｉ］である請求項６に記載の方法。7. The method of claim 6, wherein the vector K _i is replaced by a set of vectors K [1],... K [w], and M (s [i]) = K [i].

識別装置がランダムに選択されたベクトルｙとランダムに選択された順列ｐとを選択した後に、ｈ_１＝Ｈ（Ｍｙ、ｐ）、ｈ_２＝Ｈ（ｙｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ）を計算し、コミットメント｛ｈ_１、ｈ_２｝を識別装置へ送り、
確認装置はランダムに２進数ベクトルｂ［１］、・・・、ｂ［ｗ］を取ってそれを識別装置へ送り、
識別装置は下記の式：
ｚ＝ｙ_ｐｘｏｒｓ［１］_ｐｂ［１］ｘｏｒｓ［２］_ｐｂ［２］ｘｏｒｓ［３］_ｐｂ［３］・・・ｘｏｒｓ［ｗ］_ｐｂ［ｗ］
で定義される応答ｚを計算して確認装置へ送り、
確認装置はビットｑをランダムに取って識別装置へ送り、
識別装置は下記の式：
ｑ＝０ならば、ｒ＝｛ｙｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ｝
ｑ＝１ならば、ｒ＝｛ｐ｝
で定義される応答ｒを送り、
確認装置は下記回答ｒ：
ｑ＝０ならば、ｒ＝｛ｒ［０］、ｒ［１］、・・・、ｒ［ｗ］｝
ｑ＝１ならばｒ＝｛ｒ［０］｝
を受けて下記をテストする：
ｑ＝０ならば、ｈ_２＝Ｈ（ｒ）、ｚ＝ｒ［０］ｘｏｒｒ［１］ｂ［１］ｘｏｒｒ［２］ｂ［２］ｘｏｒｒ［３］ｂ［３］・・・ｘｏｒｒ［ｗ］ｂ［ｗ］且つ｛ｒ［１］，ｒ［２］，・・・，ｒ［ｗ］｝が単体コードを形成する、
ｑ＝１ならば、Ｈ（Ｍ（順列（ｚ、ｒ［０］））ｘｏｒ（Ｋ［１］ｂ［１］ｘｏｒＫ［２］ｂ［２］ｘｏｒＫ［３］ｂ［３］・・・ｘｏｒＫ［ｗ］ｂ［ｗ］，ｒ［０］）＝ｈ１、
ｑに対応するテストが正確であることが分かった時に、確認装置はプロトコルが成功裏に終了したとみなす請求項６または７に記載の方法。After the discriminator selects a randomly selected vector y and a randomly selected permutation p, h ₁ = H (My, p), h ₂ = H (yp, s [1] _p ,. , S [w] _p ), send commitment {h ₁ , h ₂ } to the identifier,
The confirmation device randomly takes binary vectors b [1],..., B [w] and sends them to the identification device,
The identification device has the following formula:
z = y _p xor s [1] _p b [1] xor s [2] _p b [2] xor s [3] _p b [3]... xor s [w] _p b [w]
Calculate the response z defined by and send it to the confirmation device,
The confirmation device randomly takes bit q and sends it to the identification device,
The identification device has the following formula:
If q = 0, r = {yp, s [1] _p ,..., s [w] _p }
If q = 1, r = {p}
Send a response r defined by
The confirmation device is the following answer r:
If q = 0, r = {r [0], r [1],..., r [w]}
If q = 1, r = {r [0]}
And test the following:
If q = 0, h ₂ = H (r), z = r [0] xor r [1] b [1] xor r [2] b [2] xor r [3] b [3]. xor r [w] b [w] and {r [1], r [2], ..., r [w]} form a unit code,
If q = 1, then H (M (permutation (z, r [0])) xor (K [1] b [1] xor K [2] b [2] xor K [3] b [3]. Xor K [w] b [w], r [0]) = h1,
The method according to claim 6 or 7, wherein when the test corresponding to q is found to be accurate, the verification device considers the protocol to be successful.

識別装置がランダムに選択されたベクトルｙとランダムに選択された順列ｐとを選択した後に、ｈ_１＝Ｈ（ｐ）、ｈ_２＝Ｈ（ｙｐ，ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ）を計算して確認装置へコミットメント｛ｈ_１、ｈ_２｝とベクトルｈ_０＝Ｍｙとを送り、
確認装置はランダムに２進数ベクトルｂ［１］，・・・，ｂ［ｗ］を取って識別装置へそれを送り、
識別装置は下記の式：
ｚ＝ｙ_ｐｘｏｒｓ［１］_ｐｂ［１］ｘｏｒｓ［２］_ｐｂ［２］ｘｏｒｓ［３］ｐｂ［３］・・・ｘｏｒｓ［ｗ］ｐｂ［ｗ］
で定義される応答ｚを計算して確認装置に送り、
確認装置はビットｑをランダムに取って識別装置へ送り、
識別装置は下記の式：
ｑ＝０ならば、ｒ＝｛ｙ_ｐ、ｓ［１］_ｐ，・・・，ｓ［ｗ］_ｐ｝
ｑ＝１ならば、ｒ＝｛ｐ｝
で定義される応答ｒを送り、
確認装置は、
ｑ＝０ならば応答ｒ＝｛ｒ［０］、ｒ［１］、・・・、ｒ［ｗ］｝、
ｑ＝１ならばｒ＝｛ｒ［０］｝
を受けて下記をテストし：
ｑ＝０ならば、ｈ_２＝Ｈ（ｒ）、ｚ＝ｒ［０］ｘｏｒｒ［１］ｂ［１］ｘｏｒｒ［２］ｂ［２］ｘｏｒｒ［３］ｂ［３］・・・ｘｏｒｒ［ｗ］ｂ［ｗ］かつ｛ｒ［１］，ｒ［２］，・・・，ｒ［ｗ］｝は単体コードを形成する、
ｑ＝１ならば、ｈ_１＝Ｈ（ｒ［０］）かつ（ｈ_０）_{ｒ［０］} ｘｏｒ（Ｋ［１］ｂ［１］ｘｏｒＫ［２］ｂ［２］ｘｏｒＫ［３］ｂ［３］・・・ｘｏｒＫ［ｗ］ｂ［ｗ］）_ｒ［０］＝ｚ、
対応するテストが正確であると分かった時に、確認装置はプロトコルが成功裏に終了したとみなす請求項６または７に記載の方法。After the identification device selects a randomly selected vector y and a randomly selected permutation p, h ₁ = H (p), h ₂ = H (yp, s [1] _p ,..., S [W] _p ) and send the commitment {h ₁ , h ₂ } and the vector h ₀ = My to the confirmation device,
The confirmation device randomly takes a binary vector b [1],..., B [w] and sends it to the identification device,
The identification device has the following formula:
z = y _p xor s [1] _p b [1] xor s [2] _p b [2] xor s [3] p b [3]... xor s [w] p b [w]
Calculate the response z defined by and send it to the confirmation device,
The confirmation device randomly takes bit q and sends it to the identification device,
The identification device has the following formula:
If q = 0, then r = {y _p , s [1] _p ,..., s [w] _p }
If q = 1, r = {p}
Send a response r defined by
The confirmation device
If q = 0, the response r = {r [0], r [1],..., r [w]},
If q = 1, r = {r [0]}
And test the following:
If q = 0, h ₂ = H (r), z = r [0] xor r [1] b [1] xor r [2] b [2] xor r [3] b [3]. xor r [w] b [w] and {r [1], r [2],..., r [w]} form a unit code,
If q = 1, h ₁ = H (r [0]) and (h ₀ ) _{r [0]} xor (K [1] b [1] xor K [2] b [2] xor K [3] b [3]... XorK [w] b [w]) _{r [0]} = z,
8. A method according to claim 6 or 7, wherein the verification device considers that the protocol has been successfully completed when the corresponding test is found to be accurate.

請求項１〜９のいずれか一項に記載の方法であって、前記プロトコルがｔ回反復され、その全てのプロトコルが成功した時にのみ確認装置が識別装置を認証する請求項１〜９のいずれか一項に記載の方法。 10. A method according to any one of the preceding claims, wherein the verification device authenticates the identification device only when the protocol is repeated t times and all its protocols are successful. The method according to claim 1.

ｔを０＜ｔ＜６０の範囲で選択する請求項１０に記載の方法。 The method according to claim 10, wherein t is selected in the range of 0 <t <60.

ハミング重みｄを下記の式：
ｄ＝（ｋ−ｎ）ｌｏｇ２（１−（ｋ／ｎ））−ｋｌｏｇ２（ｋ／ｎ）
に選択し、好ましくはこの値より小さくする請求項１〜１１のいずれか一項に記載の方法。The Hamming weight d is expressed by the following formula:
d = (k−n) log2 (1− (k / n)) − k log2 (k / n)
12. The method according to any one of claims 1 to 11, wherein the method is selected, preferably less than this value .

ハミング重みｄを下記の式：
ｄ＝（ｎ−（ｋ−ｎ）ｌｏｇ２（１−（ｋ／ｎ））＋ｋｌｏｇ２（ｋ／ｎ）
に選択し、好ましくはこの値より大きくする請求項１〜１１のいずれか一項に記載の方法。The Hamming weight d is expressed by the following formula:
d = (n- (k-n) log2 (1- (k / n)) + klog2 (k / n)
12. The method according to any one of claims 1 to 11, wherein the method is preferably selected to be greater than this value .

ｎ＝２ｋである請求項１２または１３に記載の方法。 The method according to claim 12 or 13, wherein n = 2k.

ｄ＝０．１１ｎまたはｄ＝０．８９ｎである請求項１２〜１４のいずれか一項に記載の方法。 The method according to claim 12, wherein d = 0.11n or d = 0.89n.

ｎとｋとが下記の値の組の１つを取る請求項１〜１５のいずれか一項に記載の方法：
｛ｎ＝３８４、ｋ＝１９６｝、｛ｎ＝５１２、ｋ＝２５６｝、｛ｎ＝１０２４、ｋ＝５１２｝または｛ｎ＝７６８、ｋ＝３８４｝。16. A method according to any one of the preceding claims, wherein n and k take one of the following sets of values:
{N = 384, k = 196}, {n = 512, k = 256}, {n = 1024, k = 512} or {n = 768, k = 384}.

暗号ハッシュ関数を暗号化関数で置換して、ハッシュされるメッセージが上記のキーおよび／または暗号化すべきメッセージの役目をし且つハッシュされたメッセージの真実性の検査でハッシュされたメッセージおよび／または暗号化キーを明らかにする請求項１〜１６のいずれか一項に記載の方法。 Replacing the cryptographic hash function with a cryptographic function so that the hashed message serves as the key and / or the message to be encrypted and is hashed with a check of the authenticity of the hashed message and / or cipher 17. A method according to any one of claims 1 to 16, wherein the activation key is revealed.

ｍを数２、３、５、７または２ｃ（ここで、ｃは小さい整数である）の中から選択する請求項１７に記載の方法。 18. A method according to claim 17, wherein m is selected from the numbers 2, 3, 5, 7 or 2c, where c is a small integer.

｛ｎ、ｋ、ｍ｝が下記の値の１つをとる請求項１７または１８に記載の方法：
｛１９６、１２８、３｝、｛３８４、２５６、３｝、｛１２８、６４、５｝または｛１９２、９６、５｝Method according to claim 17 or 18, wherein {n, k, m} takes one of the following values:
{196, 128, 3}, {384, 256, 3}, {128, 64, 5} or {192, 96, 5}

Ｈ（ｐ）の計算をＨ（ｅｐ）（ここで、ｅは一定の擬似ランダムベクトルである）の計算で行う請求項１乃至１９のいずれか１項に記載の方法。 The method according to claim 1, wherein the calculation of H (p) is performed by calculating H (ep) (where e is a constant pseudorandom vector).

各ユーザの識別子ＩＤをキー｛ｓ_ｉ、Ｋ_ｉ｝と組み合わせるために正当権限者が主な秘密キーの組｛ＫＰｉ｝を選択し、ＫＰ_ｉ値の関数としてｓ_ｉを計算するための２進数ベクトルＩ＝Ｈ（ＩＤ）にＩＤをハッシュし、正当権限者は全パプリックキー｛ＰＰ_ｉ｝または｛ＰＰ_ｉ｝＝ｆ（ＫＰ_ｉ）を公表する請求項1乃至２０のいずれか一項に記載の方法。A binary number for the legitimate authority to select the main private key set {KPi} to combine each user's identifier ID with the key {s _i , K _i } and calculate s _i as a function of the KP _i value. 21. The ID is hashed in a vector I = H (ID), and the authorized person publishes all public keys {PP _i } or {PP _i } = f (KP _i ). the method of.

ＫＰ_ｉがｓの計算に関連するか否かを決める選択インジケータとして正当権限者が１に等しいビットを用いる請求項２１に記載の方法。The method of claim 21, wherein the rightful authority uses a bit equal to 1 as a selection indicator to determine whether KP _i is relevant to the calculation of s.

組｛ＫＰｉ｝が１つまたは複数の拡大した単体コードを形成する請求項２２に記載の方法。 23. The method of claim 22, wherein the set {KPi} forms one or more expanded unit codes.

Ｉが５６ビットの数である請求項２３に記載の方法。 24. The method of claim 23, wherein I is a 56 bit number.

ｓがＫＰ_ｉの一次の組み合わせ、すなわち、
ｓ＝ｌ［１］ＫＰ１＋Ｉ［２］ＫＰ２＋・・・Ｉ〔Ｉのサイズ〕ＫｐＩのサイズ
（ここで、ＰＰ_ｉ＝（ＫＰ_ｉ））
として計算する請求項２１乃至２４に記載の方法。s is a linear combination of KP _i , ie
s = l [1] KP1 + I [2] KP2 + ... I [I size] KpI size (where PP _i = (KP _i ))
The method according to claim 21, wherein the calculation is as follows.

正当権限者が１に等しいのビットが２ａｔの位置に分配された重みａｔのｔ個の秘密ＫＰ_ｉを選択し、ＰＰ_ｉ＝（ＭＰ_ｉ）値を公表し且つ下記〔式１〕の部分三角測量によってコードｓを生成する：
【式１】

ｓの重み＝ｔａ−ｔ／２であり、
サイズは、下記の関係式で選択：
０．１１ｎ＝ｔａ−ｔ／２、２ｋ＝ｎかつ２ａｔδ＞５６
（ここで、２ａ−２ａＨ_２（δ）≡１）
の計算を実行することを特徴とする、請求項２１、２２または２４に記載の方法によってＩＤをｓに関連付ける方法。Select the t secret KP _i with the weight at at which the bit whose right authority is equal to 1 is distributed at the position of 2at, publish the value PP _i = (MP _i ), and the partial triangle of [Formula 1] below Generate code s by surveying:
[Formula 1]

s weight = ta−t / 2,
Select the size with the following relation:
0.11n = ta−t / 2, 2k = n and 2atδ> 56
(Where 2a-2aH ₂ (δ) ≡1)
25. A method of associating an ID with s by a method according to claim 21, 22 or 24, characterized in that the calculation of

ｔ＝５６、ｄ＝９５、ｎ＝８６４、ｋ＝４３２である請求項２６に記載の方法。 27. The method of claim 26, wherein t = 56, d = 95, n = 864, k = 432.

識別装置は、制御装置と、不揮発性メモリと、ランダムアクセスメモリと、ベクトル−マトリックス乗算器と、２進数排他的ＯＲ実施手段と、ランダム数発生器と、刻み機能と、順列発生器とを有し、確認装置は、制御装置を有し、制御装置には、不揮発性メモリと、ハミング重み計算器と、比較器と、ベクトル−マトリックス乗算器と、ランダムアクセスメモリと、２進数排他的ＯＲ実施手段と、ランダム数発生器と、刻み機能と、順列発生器とが接続され、識別装置と確認装置との間には通信インターフェースが接続されていることを特徴とする請求項１〜３１のいずれか一項に記載の方法。 The identification device has a control device, a non-volatile memory, a random access memory, a vector-matrix multiplier, a binary exclusive OR implementation means, a random number generator, a step function, and a permutation generator. The confirmation device includes a control device, and the control device includes a nonvolatile memory, a Hamming weight calculator, a comparator, a vector-matrix multiplier, a random access memory, and a binary exclusive OR implementation. The means, the random number generator, the step function, and the permutation generator are connected, and a communication interface is connected between the identification device and the confirmation device. The method according to claim 1 .

請求項１〜２８のいずれか１項に記載の方法を実施するための識別装置であって、An identification device for carrying out the method according to any one of claims 1 to 28, comprising:
サイズｎ×ｋのマトリックスＭをｎビットのベクトルによって乗算するための少なくとも１つの手段と、ハミング重みｄの秘密ベクトルｓ At least one means for multiplying a matrix M of size n × k by an n-bit vector, and a secret vector s of Hamming weight d _ｉi を記憶するための手段と、ランダムなベクトルｙとランダムな順列ｙとを生成する手段と、暗号ハッシュＨを実施するための手段と、確認装置との通信手段とを有することを特徴とする装置。Comprising: means for storing the data; means for generating a random vector y and a random permutation y; means for implementing the cryptographic hash H; and means for communicating with the verification device .

請求項１〜２８のいずれか１項に記載の方法を実施するための確認装置であって、A confirmation device for carrying out the method according to any one of claims 1 to 28, comprising:
サイズｎ×ｋのマトリックスＭをｎビットのベクトルによって乗算するための少なくとも１つの手段と、少なくとも１つのパブリックベクトルＫ At least one means for multiplying a matrix M of size n × k by an n-bit vector, and at least one public vector K _ｉi （Ｋ(K _ｉi ＝Ｍｓ= Ms _ｉi ）を記憶するための手段と、整数をランダムに生成する手段と、暗号法ハッシュＨを実施する手段と、識別装置との通信装置とを有する装置。), A means for randomly generating an integer, a means for performing a cryptographic hash H, and a communication device with the identification device.

マトリックスＭが擬似ランダム数の決定発生器によって生成される請求項２９または３０に記載の装置。31. Apparatus according to claim 29 or 30, wherein the matrix M is generated by a pseudo-random number decision generator.

マトリックス乗算器Ｍが一列整列の複数のＡＮＤゲートによって形成されており、これらのゲートの各々の入力にベクトルｙのビットとマトリックスＭの現在の行のビットとが入力され、ＡＮＤゲートの出力は排他的ＯＲゲートの三角網に供給され、回路の出力で、ｙとマトリックスThe matrix multiplier M is formed by a plurality of AND gates arranged in a line, and the bit of the vector y and the bit of the current row of the matrix M are input to the input of each of these gates, and the output of the AND gate is exclusive. Is supplied to a triangular network of OR gates, and at the output of the circuit, y and matrix MM の現在の行によるスカラー積に対応するビットが得られることを特徴とする請求項２９〜３１のいずれか一項に記載の装置。32. Apparatus according to any one of claims 29 to 31, characterized in that a bit corresponding to a scalar product by a current row of is obtained.

識別装置は、制御装置と、不揮発性メモリと、ランダムアクセスメモリと、ベクトル−マトリックス乗算器と、２進数排他的ＯＲ実施手段と、ランダム数発生器と、刻み機能と、順列発生器とを有し、確認装置は、制御装置を有し、制御装置には、不揮発性メモリと、ハミング重み計算器と、比較器と、ベクトル−マトリックス乗算器と、ランダムアクセスメモリと、２進数排他的ＯＲ実施手段と、ランダム数発生器と、刻み機能と、順列発生器とが接続され、識別装置と確認装置との間には通信インターフェースが接続されていることを特徴とする請求項２９〜３２のいずれか一項に記載の装置。 The identification device has a control device, a non-volatile memory, a random access memory, a vector-matrix multiplier, a binary exclusive OR implementation means, a random number generator, a step function, and a permutation generator. The confirmation device includes a control device, and the control device includes a nonvolatile memory, a Hamming weight calculator, a comparator, a vector-matrix multiplier, a random access memory, and a binary exclusive OR implementation. The means, the random number generator, the step function, and the permutation generator are connected, and a communication interface is connected between the identification device and the confirmation device. A device according to claim 1 .